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Editorial 


Langfristig war geplant, dass sich das vorliegende Heft 2 der Datenschutz Nachrich- 
ten mit elektronischen Zahlungssystemen und deren Relevanz für den Schutz von 
Privatheit und Grundrechten befasst. Doch ist die Aktualität der Corona-Pandemie 
dazwischen gekommen: Die Diskussion über die Frage, was zur Eindämmung des Vi- 
rus nötig ist, insbesondere wenn dadurch Grundrechte betroffen sind, macht vor 
dem Grundrecht auf Datenschutz nicht halt. 


Corona-Apps, Datenspende-Apps, fragwürdige Datenübermittlungen und mehr haben 
mit dem Virus plötzlich das Thema Datenschutz in den gesellschaftlichen Vordergrund 
gepusht. Dabei führt die Globalität der Gesundheitsbedrohung fast zwangsläufig dazu, 
das Thema weltweit in den Blick zu nehmen. Hierbei sticht der Systemgegensatz zwi- 
schen Europa und China hervor, der unter dem Brennglas der Coronabekämpfung be- 
sonders gut zu erkennen ist, und der zugleich klarmacht, welche globale Aufgabe dem 
europäischen Datenschutz zukommt. Verblüffend und erfreulich ist, dass sich - zu- 
mindest zum Zeitpunkt des Redaktionsschlusses dieses Heftes (Ende April) - vernunft- 
und grundrechtsorientierte Politik in weiten Teilen Europas durchzusetzen scheint. 


Es bleiben viele weitere Themen auf der Tagesordnung. Diese haben teilweise eng 
mit der Corona-Pandemie zu tun, etwa wenn sich wegen körperlicher Kontaktver- 
bote digitale Videokontaktangebote geradezu aufzwängen. Corona ist nicht alles, 
weshalb insbesondere im Service- und Nachrichtenteil weitere aktuelle Fragestel- 
lungen - und auch dies weltweit - behandelt werden. Einen Blick in die Welt der 
Zahlungssysteme gibt Frau Prof. Wu mit ihrer Darstellung des E-Payment in Taiwan. 
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Thilo Weichert 


Mit digitaler Technik gegen die Pandemie 
- mit oder ohne Bürgerrechte? - 


1Einleitung 


Im Zeitalter des Smartphones ist die 
Ansicht weit verbreitet, mit Hilfe die- 
ses digitalen Wunderdings ließe sich ir- 
gendwie fast jedes Problem lösen. Ange- 
sichts der aktuellen Corona-Pandemie 
scheint es so naheliegend, das Smart- 
phone gegen diese globale Gesund- 
heitsgefahr zum Einsatz zu bringen. In- 
formationstechnik kann nicht das Virus 
vertreiben. Viele hoffen aber, mitihr das 
vom Coronavirus (SARS-CoV-2) ausge- 
hende Risiko für die Menschen zu be- 
schränken und dessen Ausbreitung ein- 
zuschränken. Dass dies nicht abwegig 
ist, wurde in China oder in Südkorea ge- 
zeigt, wo digitale Überwachung einen 
Beitrag dazu leistet, die Ausbreitung 
des Virus einzuschränken. Damit steht 
die Frageim Raum: Was bringt was? Und 
inwieweit ist der Einsatz solcher Instru- 
mente mit Grundrechten, Demokratie 
und Rechtsstaatlichkeit und insbeson- 
dere mit dem Datenschutz in Einklang zu 
bringen? 

Die Eindämmung der Infektionen mit 
dem neuartigen Coronavirus, der die 
Lungenkrankheit Covid-19 auslöst, ist 
eine hinsichtlich ihrer Größenordnung 
und Globalität bisher unbekannte Her- 
ausforderung für demokratische Gesell- 
schaften. Diese müssen der Pandemie 
und ihren Folgen entgegentreten und 
zugleich ihre grundlegenden Werte be- 
wahren. Die Forderung, Datenschutz 
und Bürgerrechte müssten hinter der 
Infektionsbekämpfung zurückstehen, 
findet viele Befürworter, als ob Gesund- 
heitsschutz und Datenschutz zueinan- 
der in einem Widerspruch stehen wür- 
den. Weltweit erfolgen derzeit massive 
Beschränkungen der Freizügigkeit, die 
mit Maßnahmen der Datenerfassung 
und Überwachung einhergehen. Diese 
können zur Totalkontrolle und zur um- 
fassenden Zusammenführung unter- 
schiedlichster Datenbestände führen. 
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Im Folgenden werden bisherige prak- 
tische Erfahrungen sowie Planungen 
beschrieben (Stand 01.05.2020). Dabei 
werden Informationen aus den Medi- 
en dargestellt, ohne dass immer durch 
Vergleich mit weiteren Berichten ge- 
prüft werden konnte, ob die Angaben 
zutreffen. Dann wird diskutiert, welche 
Anforderungen an einen App-Einsatz 
gegen die Verbreitung des Virus durch 
unsere freiheitliche und demokratische 
Rechtsordnung zu stellen sind, also wie 
bürgerrechtskonformer digitaler Ge- 
sundheitsschutz möglich ist. 


2 Mit Ebolapp gegen Ebola 


Die Idee mit Smartphone-Apps ge- 
gen die Ausbreitung von ansteckenden 
Krankheiten vorzugehen, hatte Micha- 
el Kölsch, Honorarkonsul der Republik 
Liberia in Leipzig, während der verhee- 
renden Ebola-Epidemie in Westafrika 
2014, bei der mehr als 11.000 Menschen 
starben. In Kooperation mit dem Verein 
Freunde Liberias organisierte er, dass 
Ärzte aus Deutschland in die Region ge- 
schickt wurden. Seine Überlegung war: 
„Da in Afrika fast jeder ein Mobiltele- 
fon hat, könnte man die Technik doch 
vielleicht dazu verwenden, möglichst 
frühzeitig Menschen zu warnen, die mit 
Infizierten in Kontakt gekommen sind.” 
Er glaubte, man könne die „Ebolapp”, so 
wurde das Projekt genannt, so schnell 
entwickeln, dass man sie noch während 
des Ausbruchs in Westafrika einsetzen 
könnte: „Doch dann wurde mir bewusst, 
dass das ein Riesenprojekt ist.” Es fan- 
den sich Unterstützer, die das Projekt 
mit Spenden finanzierten. Program- 
miert hat die Software eine Leipziger 
Firma, auch mit viel ehrenamtlichem 
Einsatz. Nach fünf Jahren war die App 
fertig. Ein erster Testlauf an einer Leip- 
ziger Klinik war offenbar erfolgreich. 
Mit Hilfe von Pflegekräften und Ärzten, 
die die App installierten, untersuch- 


ten die Entwickler, ob die App erkennt, 
wenn sich andere Nutzer in der Nähe be- 
finden.! 


3 Von China ... 


Diese Entwicklung wurde durch das 
Coronavirus (SARS-CoV-2) überholt bzw. 
beschleunigt. Das Virus breitet sich seit 
Ende 2019, von Wuhan in China ausge- 
hend, weltweit aus. In asiatischen Län- 
dern kamen technische Überwachungs- 
instrumente zum Einsatz, die zuvor zur 
Bekämpfung von Gesundheitsgefahren 
nicht denkbar waren: 

In der Volksrepublik China war man 
noch nie zimperlich bei der Überwa- 
chung der Bevölkerung. Im Februar 
2020 startete die dortige Regierung die 
Plattform „Close Contact Detector”, mit 
der sich ermitteln lässt, wie nahe man 
einem Infizierten gekommen ist. Die 
App wertet dafür die Datenbanken öf- 
fentlicher Verkehrsmittel aus. In China 
müssen sich nicht nur Flug-, sondern 
auch Zug- und in manchen Städten so- 
gar U-Bahnreisende mit vollem Namen 
und Ausweisnummer für ausgewiese- 
ne Sitzplätze registrieren. Die App gibt 
Auskunft darüber, ob man drei Reihen 
vor oder hinter einem Infizierten saß. 
Zudem erstellen die drei großen staat- 
lichen Mobilfunkanbieter über ihre 
Kunden anhand der Funkzellenlokali- 
sierung Bewegungsprofile für jeweils 
14 Tage. Chinesische Arbeitgeber fragen 
diese Profile ab, bevor sie ihre Mitarbei- 
ter aufs Firmengelände lassen. 

In Hangzhou, Sitz des Onlinehändlers 
Alibaba, installierte das Unternehmen 
eine App namens „Gesundheitscode“, 
bei der die Informationen der regist- 
rierten Kunden mit den Datenbanken 
der Gesundheitsbehörden abgeglichen 
werden. Über einen Farbcode wird dann 
die errechnete „Gefährdung“ angezeigt: 
Grün bedeutet freie Bewegung, bei Gelb 
wird eine 7-, beiRot eine 14-tägige Qua- 
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rantäne empfohlen. Die App teilt ihre 
Daten nicht nur mit den Gesundheits- 
behörden, sondern auch mit der Polizei. 
Ende März 2020 war das Verfahren von 
Alibaba schon in mehr als 200 Städten 
der Volksrepublik eingeführt, auch in 
der Provinz Hubei mit der Provinzhaupt- 
stadt Wuhan, dem Ausgangsort der Pan- 
demie. Alibaba-Konkurrent Tencent ent- 
wickelte und verbreitet eine ähnliche 
App. „Anti-Virus Code” teilt zusätzlich 
zum Farbcode mit, wie weit man sich ge- 
rade von einem bestätigten Coronafall 
aufhält. Gerät man in eine Polizeikon- 
trolle, checkt in einem Hotel ein oder 
betritt einen Supermarkt, so wird man 
aufgefordert, die App vorzuzeigen. 

Ohne positives Rating ist die Aufnah- 
me von Arbeit oder die Nutzung von 
Bahn oder Flugzeug nicht möglich. 
Während einer Pressekonferenz Ende 
Februar wurde behördlich mitgeteilt, 
dass mehr als 50 Mio. Menschen in der 
Provinz Zhejiang den Dienst von Ali- 
baba auf ihren Smartphones installiert 
hätten, ca. 90% der Bevölkerung die- 
ser Provinz. Von den Codes seien 98,2% 
grün gewesen. Dies bedeutet, dass fast 
eine Millionen Menschen gelbe oder 
rote Codes zugeteilt bekommen hatten. 

Täglich werden in China ca. 50.000 
Tests durchgeführt. Seit Ende März 
durften nichtchinesische Staatsbür- 
ger nicht mehr einreisen. Chinesische 
Staatsbürger müssen 14 Tage vor ihrer 
Einreise per Flugzeug jeden Tag ihren 
Gesundheitsstatus über eine App mel- 
den. Bei der Einreise selbst müssen sie 
sich testen lassen und danach 14 Tagein 
eine überwachte Quarantäne begeben.? 

Die  _Weltgesundheitsorganisation 
(World Health Organization - WHO) lob- 
te den chinesischen Digitaleinsatz zur 
Coronabekämpfung ausdrücklich. In 
Sachen Informationstechnik (IT) sind 
viele chinesische Produkte Exportschla- 
ger, unabhängig davon, wie grund- 
rechtskonform sie sind. Es ist nahelie- 
gend, dass das chinesische Exempel für 
andere Länder zum Vorbild genommen 
wurde.’ 


4 ... über das weitere Asien, Australien ... 
In Hongkong wurden seit Anfang Fe- 
bruar Quarantänepflichtige gezwungen, 


mit einem Smartphone verbundene 
elektronische Armbänder zu tragen. 
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Bricht die Verbindung ab oder verlässt 
ein Patient seine Wohnung, wird die Ge- 
sundheitsbehörde alarmiert. Die Men- 
schenrechtlerin Maya Wang meinte, der 
Ausbruch des Coronavirus erweise sich 
als „ein Meilenstein in der Geschichte 
der Massenüberwachung”. 

In Taiwan wurde früh damit begon- 
nen, „elektronische Zäune” um Men- 
schen in Quarantäne zu ziehen. Loggt 
sich ein Mobiltelefon eines Infizierten 
in eine Funkzelle ein, die nicht seinen 
Wohnort abdeckt, so wird die Polizei 
alarmiert. 

Seit 20.03.2020 wird im autoritär 
regierten Singapur mit Unterstützung 
des Gesundheitsministeriums durch 
die Singapur Government Technology 
Agency die freiwillige Smartphone-App 
„IraceTogether” verbreitet, mit der die 
Nutzenden über einen zentralen Ser- 
ver identifiziert werden. Ein hierüber 
vergebenes Pseudonym wird an die 
App gesendet, das per Bluetooth mit in 
der Nähe befindlichen Geräten ausge- 
tauscht wird. Diese Daten werden an ei- 
nen Zentralserver gesendet. Im Falle der 
Infektion werden die Kontakte ermittelt 
und die entsprechenden Personen in- 
formiert, um diese in Quarantäne zu 
schicken. In dem Stadtstaat sollen Ende 
April nur 20% der Menschen die App he- 
runtergeladen haben. Die Quarantäne 
wird dort durch Überwachung der infi- 
zierten Personen anhand der GPS-Daten 
ihrer Smartphones durchgesetzt; die In- 
fizierten müssen mithilfe von spontan 
abgefragten Fotos ihrer Wohnumgebung 
nachweisen, dass sie sich tatsächlich in 
ihrer Wohnung aufhalten.‘ 

Die Regierung von Südkorea will sich 
nach der Masseninfektion mit MERS 
(Middle East Respiratory Syndrom) fünf 
Jahre zuvor nicht erneut dem Vorwurf 
aussetzen, nicht vor Infizierten gewarnt 
zu haben. Die Behörden versenden Text- 
nachrichten in das Wohnviertel der Per- 
sonen, die positiv getestet worden sind, 
mit Angaben zu Alter, Geschlecht, Natio- 
nalität und dem Bewegungsprofil der In- 
fizierten. Die Namen der Infizierten wer- 
den nicht angezeigt, doch sind diese im 
Einzelfall leicht z.B. von Nachbarn her- 
auszubekommen. In dem Land wurden 
millionenfach GPS-basierte Warnapps 
heruntergeladen. „Corona 100 Meter“, 
„Corona Doctor“ und „Corona Map” ge- 
hören zu den meistgeladenen Apps im 


Land.’ Nachdem am 19.02.2020 die Zahl 
der Infizierten im südkoreanischen Ort 
Daegu rapide angestiegen war, wo kurz 
zuvor ein großes Sektentreffen stattge- 
funden hatte, wurden ausnahmslos die 
ca. 10.000 örtlichen Sektenmitglieder 
getestet. Am Ende wurden alle bekann- 
ten 240.000 Sektenanhänger im Land 
getestet und isoliert, ebenso wie alle 
Menschen, die enger mit ihnen zu tun 
hatten. Kontaktpersonen werden auch 
mithilfe von Location-Tracking von 
Smartphones und Kreditkartennutzun- 
gen erkannt. Dafür arbeitet die Regie- 
rung mit 3 Telekommunikations- und 22 
Kreditkartenunternehmen zusammen. 
Bis zu 15.000 Tests werden täglich in 
dem Land zur frühestmöglichen Erken- 
nung durchgeführt. Mehr als 50 süd- 
koreanische Sonderbeamte sind hierfür 
abgestellt. Über die Apps werden die 
Menschen zudem informiert, wie hoch 
die Ansteckungswahrscheinlichkeit ist. 
Dies ermöglichte es, die weitere Aus- 
breitung der Infektion zu bremsen. Bis 
zum 16.04.2020 waren nach offiziellen 
Angaben in dem Land 229 Coronatote zu 
beklagen.‘ 

Im 1,3 Milliarden-Staat Indien werden 
am Flughafen Einreisende gesundheit- 
lich überprüft und 14 Tage in häusliche 
Quarantäne gesteckt. Die Adressen von 
Tausenden unter Quarantäne stehenden 
Personen werden im Bundesstaat Ban- 
galore online veröffentlicht. Die isolier- 
ten Personen werden aufgefordert, eine 
App herunterzuladen, über die teilweise 
stündlich ein Selfie abgefordert wird. 
Anhand der GPS-Koordinaten in der 
Bilddatei kann von den Beamten der 
Standort festgestellt werden. Die indi- 
sche Regierung hat landesweit die App 
Aarogya Setu („Gesundheitsbrücke”) 
veröffentlicht, die Nutzer warnen soll, 
wenn sie mit Infizierten in Kontakt ge- 
kommen sind. Sie müssen ihre Handy- 
nummer, ihr Geschlecht, ihren Namen, 
Alter und Beruf angeben. Die App ver- 
sendet regelmäßig GPS-Daten.’ 

Das in Singapur praktizierte Verfah- 
ren war Vorbild für das demokratische 
Australien, wo auf freiwilliger Grund- 
lage die „COVIDSafe”-App zum Einsatz 
kommt. Zum Freischalten der App sind 
von jedem Nutzenden Name (auch Pseu- 
donym möglich), Telefonnummer, Al- 
tersgruppe und Postleitzahl anzugeben. 
Die Polizei erhält keinen Zugriff auf 
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die Daten. GPS-Standortdaten werden 
nicht erfasst. Nach 21 Tagen werden die 
an einen zentralen Server gemeldeten 
Bluetooth-Kontaktdaten wieder ge- 
löscht. Am ersten Tag der Bereitstellung 
hatten schon 2 Mio. Menschen die App 
aufihre Geräte geladen. Die australische 
Gesundheitsbehörde hofft auf eine Nut- 
zung durch gut die Hälfte der 25 Mio. 
Einwohnerinnen und Einwohner.® 


5... und Israel... 


In Israel hat die von Benjamin Netan- 
jahu geführte Übergangsregierung per 
Notstandsverordnung die Bürgerüber- 
wachung durch Smartphonedaten in 
die Hände des Inlandsgeheimdienstes 
Schin Bet gelegt und hierbei zunächst 
nicht einmal das Parlament eingebun- 
den. Im Rahmen der Coronakrise ent- 
hüllten die Journalisten Ronen Berg- 
man und Ido Shvartztuch, dass Schin 
Bet eine Datenbank („das Werkzeug”) 
besitzt, die Informationen zu jedem 
Bürger enthält und schon vor Corona 
Bewegungs- und Gesprächsdaten der Is- 
raelis sammelte. Nun löste jeder positive 
Coronatest eine Kette von Datenanfra- 
gen aus, über die erkundet werden soll- 
te, mitwem die betroffene Person wo wie 
lange in den vergangenen zwei Wochen 
in Kontakt gewesen ist. Dazu wurden 14 
Sensoren des Smartphones ausgewertet 
einschließlich GPS-Standort, Bewe- 
gung, Beschleunigung, Lichtverhält- 
nisse, WLAN- und Bluetooth-Kontakte. 
Cybersecurity-Spezialistt Isaac Ben- 
Israel erläuterte: „Man kann richtig in 
die Inhalte hinein, in die sozialen Netz- 
werke desjenigen und in seine E-Mails.” 
Es wurde nicht offengelegt, wie die er- 
langten Daten mit bereits vorhandenen 
Daten abgeglichen werden und ob bzw. 
wann die Daten gelöscht werden. 

Bürgerrechtsorganisationen riefen 
den Obersten Gerichtshof an, der zwar 
die Einberufung des Parlaments, der 
Knesset verlangte, aber die Überwa- 
chung vorerst bis zum 30.04. genehmig- 
te.’ Das Gericht forderte dann mit einer 
Entscheidung vom 26.04.2020 eine ge- 
setzliche Grundlage und die Einstellung 
der Überwachung. 

1,6 der 6,5 Mio. Smartphonebesitzer 
in Israel nutzen die App „HaMagen“ (das 
Schutzschild), dieanzeigt, ob siesich in 
der Nähe eines Verdachtsfalls befinden 
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oder befunden haben. Verteidigungs- 
minister Naftali Bennett erwägte ein 
System, das die Bewegung Infizierter 
in Echtzeit überwacht - in Kooperati- 
on mit umstrittenen Dienstleistern für 
Spionagesoftware wie der Fa. NSO. Hier- 
gegen legte das Justizministerium sein 
Veto ein. 


6... nach Europa 


Die Berichte aus Asien führten in 
Europa dazu, dass auch hier digitale 
Coronabekämpfung auf die Tagesord- 
nung kam.'° In Tschechien wurde an 
der Technischen Hochschule Prag eine 
Anwendung „Freman contra Covid” ent- 
wickelt, die „nichts vorschreibt, nichts 
verbietet, niemanden verfolgt und kei- 
ne persönlichen Daten sammelt”. Das 
Programm will Menschenansammlun- 
gen verhindern, indem es Prognosen 
aufgrund von Bewegungsdaten trifft 
und z.B. dann rät, später einzukaufen. 

Die auf pseudonymer Basis arbei- 
tende App „Bleib gesund” aus der Slo- 
wakei warnt auf freiwilliger Grundlage 
Handynutzende, wenn sich ein regist- 
rierter Infizierter auf 50 Meter nähert. 
Zugleich kann die App überwachen, ob 
sich Infizierte an die Quarantäne hal- 
ten. Die Regierung ließ sich mit einem 
„Lex Korona” das Tracken aller Mobilte- 
lefone gestatten. 

In Polen ist seit dem 19.03.2020 die 
App „Kwarantanna Domowa” (Haus- 
quarantäne) im Einsatz, mit der die Po- 
lizei die Personen in Quarantäne digital 
über eine GPS-Lokalisierung kontrol- 
liert. Davon waren Anfang April bereits 
300.000 Menschen betroffen. Wer die 
App auf sein Gerät lädt, erhält zu wech- 
selnden Zeiten eine SMS. Danach muss 
der Nutzer innerhalb von 20 Minuten ein 
Foto aufnehmen und abschicken. Die 
App ist seit dem 01.04.2020 verpflich- 
tend. In der Praxis litt die App immer 
wieder an Funktionsstörungen. Die Da- 
ten sollen sechs Jahre lang gespeichert 
werden."! 

Am 25.03. 2020 wurde in Österreich 
vom dortigen Roten Kreuz (ÖRK) die 
App „Stopp Corona” veröffentlicht. Die- 
se tauscht eindeutige Nutzerkennungen 
zwischen einander nahen Smartphones 
aus, welche die Kontakte speichern. 
Im Falle einer Infektion sollen sich die 
Nutzer über die App beim ÖRK melden. 


Das verständigt über die App die Kon- 
taktpersonen der vergangenen 3 Kalen- 
dertage. Hierbei wird u.a. auch die Mo- 
bilfunknummer der Infizierten erfasst. 
Entwicklung und Betrieb liegen in den 
Händen von Accenture; die Dienste 
werden in der Microsoft Azure Cloud ge- 
hostet und für die Benachrichtigungen 
wird Googles Firebase Cloud Messaging 
verwendet. Ende April 2020 war die App 
über 400.000 Malinstalliert worden. Der 
Quellcode ist veröffentlicht. Die App, 
die Ende April noch nicht ohne Kom- 
munikation über einen zentralen Server 
auskam, sollte nicht unter das gemein- 
same europäische Dach von PEPP-PT 
gebracht werden, sondern als besonders 
datenschutzfreundliche Lösung zum 
Vorzeigemodell werden (s.u. 13)."? 

Am 08.04.2020 beschloss die EU- 
Kommission eine Empfehlung zur 
Etablierung eines Verfahrens mit den 
Mitgliedstaaten zur Entwicklung eines 
gemeinsamen europäischen Ansatzes 
(„Toolbox“) zum Einsatz digitaler Mit- 
tel, die es den Bürgern ermöglicht, 
zielgerichtet Ansteckungskontakte zu 
vermeiden.’ Am 15.04.2020 veröffent- 
lichte die EU-Kommission und der EU- 
Rat einen Fahrplan für die Aufhebung 
des Maßnahmen zur Eingrenzung von 
Covid-19, der u.a. die Schaffung eines 
Rahmens für „contact tracing and war- 
ning“ mit Mobilgeräten vorsieht. Diese 
Maßnahme soll auf freiwilligen Einwilli- 
gungen basieren und die europäischen 
Datenschutznormen respektieren.'* 

Am 21.04.2020 beschloss der Europäi- 
sche Datenschutzausschuss (EDSA, Euro- 
pean Data Protection Board, edpd) Emp- 
fehlungen für den Einsatz von Stand- 
ortdaten und Kontaktverfolgungsins- 
trumenten im Zusammenhang mit der 
Covid-19-Krankheit. Der EDSA fordert 
freiwillige Lösungen, lehnt die Verarbei- 
tung von Standortdaten ab und formu- 
liert Anforderungen zur Zweckbindung, 
Datensparsamkeit und Transparenz, legt 
sich aber nicht auf eine dezentrale oder 
zentrale technische Lösung fest." 


7 Die Diskussion in Deutschland 


In Deutschland startete die offizielle 
Suche nach digitalen Hilfsmitteln gegen 
Corona Ende Februar, als ein Projekt- 
team um Gernot Beutel von der Medi- 
zinischen Hochschule Hannover, Jens 
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Wille von Ubilabs und Maxim Gleser von 
derIPGlovesihr „Datenspende- und Auf- 
klärungsprojekt GeoHealth“ dem Bun- 
desgesundheitsministerium und dem 
RKI präsentierte. Bisher wird mit Hilfe 
von Interviews der Infizierten versucht, 
die Wege von deren Infektion nachzu- 
vollziehen.'° Die Idee von GeoHealth 
bestand darin, auf GPS-Basis erstellte 
Bewegungsdaten auszuwerten und mit 
Farbcode das Infektionsrisiko anzuzei- 
gen. Mit der GeoHealth-App sollten die 
Nutzenden „anonymisiert” ermitteln 
können, ob sie sich mit Infizierten über 
einen bestimmten Zeitraum gemein- 
sam an einem Ort, etwa während einer 
Veranstaltung oder bei einer Fahrt in 
öffentlichen Verkehrsmitteln aufgehal- 
ten haben. Die Infizierten sollten ihre 
digitalen Bewegungsprofile per „Daten- 
spende“ zur Verfügung stellen." 

Die Deutsche Telekom unterstützt das 
RKI seit dem 17.03.2020 mit Handyda- 
ten. Hierfür machte das Unternehmen 
der Behörde zunächst 5 Gigabyte seiner 
Kundendaten in anonymisierter Form 
zugänglich. Eine RKlI-Sprecherin er- 
klärte: „Damit lassen sich Bewegungs- 
ströme modellieren - bundesweit, auf 
Bundesland-Ebene sowie bis auf die 
Kreis-Gemeinde-Ebene heruntergebro- 
chen. Ein Tracking einzelner Menschen 
ist damit aber nicht möglich.” Von Me- 
dien und Bürgerrechtlern wurde hin- 
terfragt, ob die gelieferten Daten wirk- 
lich aggregiert und anonym sind. Eine 
Telekom-Sprecherin gab bekannt, dass 
die Ortung in Städten auf etwa 500 Me- 
ter genau sei, auf dem Land noch unge- 
nauer. Diese Daten werden seit 2015 zur 
Berechnung von Verkehrsströmen Ver- 
kehrsunternehmen oder Kommunen, 
also regional begrenzt, zur Verfügung 
gestellt. Zur Datenweitergabe an das 
RKI hieß es: „So umfangreiche Daten 
haben wir noch nie jemandem weiterge- 
geben.” Der Bundesbeauftragte für den 
Datenschutz und die Informationsfrei- 
heit (BfDI), Ulrich Kelber erklärte, die 
Weitergabe der Telekom-Mobilfunkda- 
ten an das RKI sei „datenschutzrecht- 
lich unbedenklich“. Bei dem Verfahren 
würden mindestens 30 Datensätze zu- 
sammengefasst, um eine nachträgliche 
Repersonalisierung zu erschweren. "® 

Der Telekom folgten weitere Mobil- 
funkanbieter, die dem RKI aggregierte 
Mobilitätsdaten weitergaben. Der Mo- 
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bilfunkanbieter A1 in Österreich stellte 
der dortigen Regierung ähnliche Daten- 
sätze zur Verfügung. Mitte April stellte 
auch Apple aus seinem Kartendienst 
Apple Maps Mobilitätsdaten öffentlich 
frei im CSV-Form (comma-separated 
values) für Analysen zum Herunterla- 
den bereit, um Anhaltspunkte zum Er- 
folg von Ausgangsbeschränkungen im 
Kampf gegen die Ausbreitung des Virus 
SARS-CoV-2 zu liefern. Auf dieser Basis 
errechnete Apple z.B. im April, dass der 
Autoverkehr seit dem Lockdown in Ber- 
lin um 54% gesunken war und in Mün- 
chen um 64%." 


8 Gescheiterter Gesetzgebungsversuch 


In einer Formulierungshilfe für einen 
Gesetzentwurf „zum Schutz der Bevölke- 
rung bei einer epidemischen Lage von 
nationaler Tragweite” vom 20.03.2020 
schlug das Bundesgesundheitsminis- 
terium (BMG) mit einer umfassenden 
Änderung des Infektionsschutzgeset- 
zes (IfSG), die weitgehend auch später 
Gesetz wurde”, im & 5 Abs. 10 IfSG vor, 
dass das RKI „zum Zweck der Nachver- 
folgung von Kontaktpersonen techni- 
sche Mittel einsetzen (kann), um Kon- 
taktpersonen von erkrankten Personen 
zu ermitteln“. Hierfür sollte das RKI 
von Mobilfunkbetreibern die Standort- 
daten und die erforderlichen Daten der 
möglichen Kontaktpersonen abfragen 
können. Der Zweck sollte es sein, die 
„ermittelten Kontaktpersonen von dem 
Verdacht einer Erkrankung (zu) infor- 
mieren“. Das Bundesjustizministerium 
meldete verfassungsrechtliche Beden- 
ken an, ebendies taten auch Daten- 
schützer. Sie wiesen zudem darauf hin, 
dass die im Entwurf vorgesehene Funk- 
zellenortung viel zu grob ist, um mög- 
liche Ansteckungen zu identifizieren. ?' 


9 Überall Apps 


Derweil versuchen Unternehmen mit 
Apps und der Corona-Angst Geschäfte 
machen. So wurden Arbeitgeber von 
einem dubiosen Firmenkonsortium 
aufgefordert, von ihren Beschäftigten 
Gesundheitsdaten zu sammeln „nur 
€ 16,90 pro Woche und Mitarbeiter”. 
Die „covid-19 check“-App, sei angeblich 
„100% DSGVO-konform” und die Daten 
würden „nach ISO 27001 zertifiziert” 


gespeichert. Die Werbung für diesen 
Dienst ging unter anderem an eine Rei- 
he von Kunden eines Unternehmens 
für Arbeitsschutz in Marl, wo vermutet 
wird, dass ein ehemaliger Mitarbeiter, 
der nun für den Anbieter der App Wer- 
bung betreibt, eine Kundendatei mit 
zahlreichen Privatadressen „mitgenom- 
men” hatte.?? 

Die Fa. BS Software Development be- 
wirbt eine App, mit der die Mitteilung 
von Corona-Testergebnissen beschleu- 
nigt und zugleich das Telefonnetz ent- 
lastet werden soll. Die Telekom stellt 
dafür eine Healthcare Cloud zur Ver- 
fügung, in der die Testergebnisse der 
Patienten gespeichert werden. User 
scannen den QR-Code eines Etiketts, 
das sie beim Test vom Arzt erhalten, 
über die App ein. Sobald das Testergeb- 
nis vorliegt, erhalten sie eine Push-Be- 
nachrichtigung, um dann das Ergebnis 
auf ihrem Smartphone abzurufen. Eine 
Überprüfung des Angebots zeigte, dass 
die App das Zertifikat des https-Servers 
nicht überprüfte, das zudem seit Jahren 
abgelaufen war, und dass eine veraltete 
Verschlüsselungstechnik zum Einsatz 
kam. BS Software Development musste 
seinen Server herunterfahren und kün- 
digte an, eine aktualisierte Version der 
App zu veröffentlichen.?° 

Um unnötige Arztbesuche zu ver- 
meiden, bei denen sich Patienten im 
schlimmsten Fall anstecken könnten, 
hat die Berliner Charit& mit Unterstüt- 
zung durch das Bundesgesundheits- 
ministerium (BMG) und das RKI einen 
Online-Corona-Test veröffentlicht, über 
den durch die Beantwortung von 26 
Fragen die Nutzenden mehr Klarheit er- 
halten sollen, ob eine Coronainfektion 
vorliegt, wozu dann weitere Handlungs- 
empfehlungen gegeben werden.?* 


10 Die Politik 


Inzwischen wurde bekannt, dass eine 
Basissoftware für Corona-Apps unter 
dem sperrigen Namen „Pan-European 
Privacy-Preserving Proximity Tracing”, 
kurz PEPP-PT, in der Fertigstellung ist. 
Diese Entwicklung wird von der Bundes- 
regierung sowie von den Landesregie- 
rungen unterstützt, die am 15.04.2020 
Folgendes beschlossen: 

Zur Unterstützung der schnellen und 
möglichst vollständigen Nachverfolgung 
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von Kontakten ist der Einsatz von digita- 
lem „contact tracing“ eine zentral wich- 
tige Maßnahme. Bund und Länder unter- 
stützen hierbei das Architekturkonzept 
des „Pan-European Privacy-Preserving 
Proximity Tracing”, weil es einen gesamt- 
europäischen Ansatz verfolgt, die Einhal- 
tung der europäischen und deutschen 
Datenschutzregeln vorsieht und lediglich 
epidemiologisch relevante Kontakte der 
letzten drei Wochen anonymisiert auf 
dem Handy des Benutzers ohne die Er- 
fassung des Bewegungsprofils speichert. 
Darüber hinaus soll der Einsatz der App 
auf Freiwilligkeit basieren. Sobald auf 
Grundlage der bereits vorgestellten Ba- 
sissoftware eine breit einsetzbare Anwen- 
dungssoftware (App) vorliegt, wird es 
darauf ankommen, dass breite Teile der 
Bevölkerung diese Möglichkeit nutzen, 
um zügig zu erfahren, dass sie Kontakt zu 
einer infizierten Person hatten, damit sie 
schnell darauf reagieren können. Bund 
und Länder werden dazu aufrufen. Fer- 
ner werden alle diejenigen, die unabhän- 
gig davon an Tracing-Apps arbeiten, ein- 
dringlich gebeten, das zugrundeliegende 
Architekturkonzept zu nutzen, damit alle 
Angebote kompatibel sind. Ein Flicken- 
teppich von nicht zusammenwirkenden 
Systemen würde den Erfolg der Maßnah- 
me zunichte machen. 

Nach Auseinandersetzungen mit der 
Architektur von PEPP-PT zogen sich 
aus dem Projekt viele Partner, auch aus 
Deutschland zurück (s.u. 13). In dieser 
ohnehin schwierigen Situation brachte 
Bundesgesundheitsminister Jens Spahn 
am 20.04.2020 auf einer Pressekonfe- 
renz, bei der es insbesondere um eine 
bessere Ausstattung der Gesundheits- 
ämter ging, eine „Quarantäne-App“ ins 
Gespräch, mit der die Einhaltung der 
Quarantäne überwacht werden kön- 
ne. Auf Presseanfragen hin verwies das 
BMG auf einen Beschluss des Corona- 
Kabinetts, in dem von einem „Quaran- 
täne-Tagebuch” die Rede ist. Mit diesem 
wolle man das Personal in den Gesund- 
heitsämtern bei der „Überwachung der 
in häuslicher Quarantäne befindlichen 
Bürgerinnen und Bürger“ entlasten. Die 
Kontrolle des aktuellen gesundheitli- 
chen Zustandes erfolge aktuell durch 
zwei Anrufe oder Hausbesuche pro Tag. 
Zur Vereinfachung des Prozesses wer- 
de das BMG den Gesundheitsämtern 
eine Plattform zur Verfügung stellen, 


84 


die eine digitale Abfrage der Sympto- 
me ermögliche - die Anwendung solle 
für Nutzer freiwillig sein, für die Ämter 
hingegen verpflichtend. Die für Digital- 
politik zuständigen Jens Zimmermann 
(SPD-Bundestagsfraktion) und Maria 
Klein-Schmeink (Grüne) äußerten um- 
gehend die Befürchtung, die neue App 
solle auch zur „Kontrolle der Quarantä- 
ne-Maßnahmen” genutzt werden, wo- 
durch zugleich der Erfolg der Warn-App 
aufs Spiel gesetzt werde.?° 


11 PEPP-PT 


Hinter PEPP-PT steht die EU-Kommis- 
sion, die versucht, sich unter den EU- 
Mitgliedern auf gemeinsame Standards 
zu verständigen (s.o. 6). Dadurch soll es 
auch möglich sein, grenzüberschreitend 
Corona-Warnungen zu kommunizieren. 
Zu Beginn entwickelten 130 europäische 
Wissenschaftler und IT-Experten, koor- 
diniert von Chris Boos, IT-Unternehmer 
der Fa. Aarago, eine Basissoftware für 
Corona-Apps. Die Plattform ist ein Soft- 
ware-Gerüst, auf dem App-Entwickler 
aufsetzen können. Der Quellcode sollte 
unter der Open-Source-Lizenz der Mozil- 
la Foundation veröffentlicht werden. An 
der deutschen Entwicklung beteiligten 
sich das RKI und das Heinrich-Hertz- 
Institut. Maßgeblich beteiligt war auch 
die Ecole Polytechnique Federale de 
Lausanne (EPFL). Das Konzept basiert 
auf Bluetooth-Low-Energy-Funktechnik 
(BLE). Die Nutzung soll besonders ener- 
giesparend sein und nur einige Meter 
weit reichen. Jedes Handy, das die Soft- 
ware lädt, erhält eine zufällige Identi- 
fikations-(ID-)Nummer, die sich alle 30 
Minuten ändert. Andere Geräte, die sich 
für einen bestimmten Zeitpunkt in der 
kritischen Reichweite von weniger als 
zwei Meter befinden, werden mit ihrem 
Pseudonym lokal verschlüsselt gespei- 
chert. Nach einer positiven Diagnose 
überträgt der Erkrankte die Liste der IDs 
aufeinen zentralen Server. Dieser fordert 
per Push-Nachricht die Kontaktperso- 
nen auf, sich testen zu lassen. Persönli- 
che Informationen, Standortdaten oder 
andere Merkmale würden nicht gespei- 
chert. Ältere Daten, die keinen epide- 
miologischen Wert mehr haben, werden 
automatisch gelöscht.?* 

Bei der Entwicklung in Deutschland 
wurden der Bundesdatenschutzbeauf- 


tragte (BfDI) und das Bundesamt für 
Sicherheit in der Informationstechnik 
(BSI) eingebunden. Es bestand Kon- 
sens unter allen Beteiligten, dass es 
keine App-Nutzungspflicht geben soll. 
Die Wissenschaftler hoffen, dass 60% 
der Bevölkerung eine solche App nut- 
zen. Dies wären bundesweit 50 Mio. 
Menschen. Da vor allem ältere, beson- 
ders gefährdete Menschen oft kein 
Smartphone nutzen, sollten Bluetooth- 
Armbänder oder andere tragbare Geräte 
verteilt werden. In einer Umfrage der 
Universität Oxford haben etwa 70% der 
Deutschen signalisiert, dass sie sich 
eine Nutzung einer solchen Tracing-App 
vorstellen können. 

Das PEPP-PT-Projekt mit seinem tech- 
nischen Gerüst und dem vorgesehenen 
Zertifizierungsrahmen war zwar kein 
offizielles EU-Vorhaben. Doch will die 
EU-Kommission für eine einheitliche 
Referenzimplementierung eine Art poli- 
tischen und rechtlichen Überbau schaf- 
fen. Zugleich will sie Apps verhindern, 
die gegen das europäische Datenschutz- 
recht verstoßen. Über die Zusammenar- 
beit mit dem Europäischen Zentrum für 
Prävention und die Kontrolle von Krank- 
heiten (ECDC) soll zudem ein Datenaus- 
tausch mit öffentlichen Stellen in ag- 
gregierter Form sichergestellt werden.?’ 
Am 15.04.2020 veröffentlichte das 
eHealthNetwork, das Netzwerk für elek- 
tronische Gesundheitsdienste der EU- 
Mitgliedstaaten, ein 44-seitiges Papier, 
das die Anforderungen für Bluetooth- 
basierte Tracing-Dienste klarstellt und 
präzisiert: Freiwilligkeit, staatliche 
Anerkennung, Datenschutzkonformität 
und zeitliche Begrenzung.” Das Kon- 
zept baut auf Empfehlungen des Europä- 
ischen Datenschutzausschusses (EDSA/ 
epdb) von 14.04.2020 auf, die darlegen, 
dass für Zwecke der Kontaktverfolgung 
und Warnung eine Lokalisierung unnö- 
tigist, und dass lokale Verarbeitungslö- 
sungen zentralisierten Verfahren vorzu- 
ziehen sind.” 

Es sollte mehrere Apps auf einer ge- 
meinsamen technischen Grundlage in 
Deutschland geben, u.a. eine vom RKI. 
Die Initiative „gemeinsam gesund” ist 
von Anfang an eingebunden. Zwecks 
Koordinierung bedarf es einer zentra- 
len Stelle. Die Apps müssen sich von 
dem Entwickler-Konsortium zertifizie- 
ren lassen. Die Corona-Warn-Apps auf 
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Basis der PEPP-PT-Plattform sollten je 
nach Land verschiedene zusätzliche 
Funktionalitäten enthalten können, 
etwa zur Kommunikation mit den Ge- 
sundheitsämtern. Boos erklärte: „Wie 
das ausgestaltet werden wird, wird jedes 
Land entsprechend seiner gesetzlichen 
Regelungen für sich entscheiden.” Ent- 
scheidend sei, dass ohne die freiwillige 
Einwilligung der Nutzer keinerlei Daten 
übertragen werden. Er wies jedoch auch 
darauf hin, dass es sich in Deutschland 
bei Covid-19 um eine meldepflichtige 
Erkrankung handelt. Die Betroffenen 
sind also verpflichtet, sich persönlich 
bei ihrem Gesundheitsamt zu melden. 
„Dies kann möglicherweise über eine 
App abgebildet werden.” 


12 Zwei US-Unternehmen 


Die Hersteller der mobilen Betriebs- 
systeme Apple (i0S) und Google (An- 
droid) kündigten am 10.04.2020 ge- 
meinsam an, sie wollten Bluetooth- 
Funktechnik nutzen, um Kontaktperso- 
nenvon Corona-Infizierten frühzeitig zu 
ermitteln, ohne die Identität der Betei- 
ligten zu offenbaren. Ähnlich wie beim 
PEPP-PT-Konzept verschicken Smart- 
phones über die Bluetooth-Technik BLE 
ständig eine Identifikationsnummer 
(ID), die dann andere Handys in der 
Nähe speichern. So soll im Nachhinein 
festgestellt werden, welche Geräte - und 
damit in den meisten Fällen auch deren 
Besitzer - sich lange genug räumlich 
nahe genug waren, um eine Ansteckung 
zu befürchten. Wer später positiv aufdas 
Virus getestet wird, kann seine ID im 
System veröffentlichen. Die Geräte der- 
jenigen Nutzer, die in der Nähe dieser ID 
waren, werden benachrichtigt und z.B. 
aufgefordert, sich testen zu lassen. Die 
Geräte-IDs, die täglich gewechselt wer- 
den, sollen nie einer bestimmten Person 
zugeordnet werden. Eine Erfassung von 
Standortdaten soll nicht erfolgen.°' Die 
Schnittstellen in i0S und Android soll- 
ten umgehend geöffnet werden, damit 
Gesundheitsbehörden diese weltweit in 
ihre eigenen Apps einbauen können. 
Über die Schnittstellen, auf die aus- 
schließlich von hoheitlich autorisierten 
Apps zugegriffen werden können soll, 
kommunizieren auch die jeweiligen 
Apps der i0S- und der Android-Geräte 
untereinander. Covid-19-Diagnosen 
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müssen demnach von Ärzten oder Labo- 
ren bestätigt werden, um das Risiko von 
Fehlalarmen zu reduzieren und Trolle 
abzuschrecken, die das System mit ab- 
sichtlichen Fehlalarmen stören könn- 
ten. 

In einem zweiten Schritt wollen 
Apple und Google die Bluetooth-Tra- 
cing-Funktion direkt in ihre jeweiligen 
Betriebssysteme integrieren. Nutzer 
müssten dann keine App mehr herun- 
terladen, sondern nurnoch der Nutzung 
zustimmen. Hat das System einen Risi- 
kokontakt bestätigt, sollen Nutzer je- 
doch auch aufgefordert werden, zusätz- 
lich eine entsprechende App der jeweili- 
gen Gesundheitsbehörden ihres Landes 
zu installieren. Nur diese zertifizierten 
Apps sollen laut Apple und Google Zu- 
griff auf die Daten bekommen. 

Das Massachusetts Institute of Tech- 
nology in Cambridge/USA (MIT) arbei- 
tet an einem ähnlichen System unter 
dem Namen „Safe Paths”.?? Der Krypto- 
grafie-Experte Moxie Marlinspike, Ent- 
wickler des Verschlüsselungs-Protokolls 
im Messenger Signal, wies aber auf die 
Gefahr hin, dass über die bestehende 
Bluetooth-Tracking-Infrastruktur die 
Werbeindustrie die IDs sammeln und so 
in Erfahrung bringen könne, wer Covid- 
positiv ist.” 


13 Kritik an PEPP-PT 


Am 20.04.2020 warnten 300 interna- 
tionale Wissenschaftler in einem Brand- 
brief an die Politik davor, dass einige 
der Lösungen für Kontaktverfolgung- 
Apps, „schleichend zu Systemen führen 
könnten, die eine noch nie dagewesene 
Überwachung der Gesellschaft als Gan- 
zes ermöglichen würden”. Systeme, die 
eine Rekonstruktion des „sozialen Gra- 
phen” einer Person erlauben, sollten 
„ohne weitere Diskussion“ abgelehnt 
werden. Sie weisen darauf hin, dass 
Google und Apple von Befürwortern 
zentral organisierter Lösungen unter 
Druck gesetzt werden, ihre Systeme für 
umfangreichere Datenerfassungen zu 
öffnen. Zu den Unterzeichnern der Stel- 
lungnahmen gehören zahlreiche Mit- 
glieder wissenschaftlicher Akademien, 
Fellows von prominenten IT-Verbänden 
wie Association for Computing Machi- 
nery (ACM), Institute of Electrical and 
Electronics Engineers (IEEE) und In- 


ternational Association for Cryptologic 
Research (IACR) sowie viele deutsche 
Wissenschaftler, die im Bereich Com- 
putersicherheit oder in angrenzenden 
Themengebieten arbeiten. 

Die Wissenschaftler formulierten 
vier allgemeine Anforderungen an ein 
vertrauenswürdiges Contact-Tracing- 
System: So dürften die Kontaktverfol- 
gungs-Apps ausschließlich eingesetzt 
werden, um Covid-19 einzudämmen. 
Das System dürfe nicht in der Lage sein, 
mehr Daten zu sammeln, als zu diesem 
Zweck notwendig ist. Jedes in Betracht 
kommende System müsse „vollkom- 
men transparent” sein, einschließlich 
der Protokolle und ihrer Implementie- 
rungen sowie der Teilkomponenten. 
Es müsse immer die technische Option 
gewählt werden, die die Privatsphäre 
besser schütze. Schließlich müsse die 
Nutzung der Apps freiwillig sein. Die 
Systeme sollten nach der aktuellen Kri- 
se abgeschaltet werden und die Daten 
müssten alle gelöscht werden können. 

Schon in den Tagen zuvor hatten sich 
zahlreiche Projektpartner, insbesondere 
aus den Bereichen IT-Sicherheit, Daten- 
schutz und Privatsphäre, von PEPP-PT 
distanziert. Die Kontakte zu den Wis- 
senschaftlern, die an einer dezentralen 
Architektur unter dem Namen „DP3T 
(Decentralized Privacy-Preserving Pro- 
ximity Tracing)” gearbeitet hatten, 
waren auf Arbeitsebene abgebrochen 
worden. Ninja Marnau vom CISPA Helm- 
holtz Center for Information Security, 
begründete den CISPA-Rückzug damit, 
dass es sich bei dem Konzept „um einen 
zentralen Ansatz mit unrealistischen 
und risikoreichen Vertrauensannah- 
men handelt. Außerdem ist nicht klar, 
ob tatsächlich der gesamte Code veröf- 
fentlicht werden wird.” Es sei proble- 
matisch, dass es sich bei PEPP-PT nicht 
um eine Plattform mit verschiedenen 
Ausprägungen, sondern lediglich um 
eine Kommunikationsplattform von 
verschiedenen Projekten handeln soll. 
Mehrere Länder würden sehr unter- 
schiedliche Ansätze verfolgen, die nicht 
miteinander interoperabel seien. Auch 
die Turiner Forschungsstiftung ISI (Is- 
tituto per U’Interscambio Scientifico), 
die Eidgenössischen Technischen Hoch- 
schulen (ETH) Zürich und Lausanne so- 
wie die Katholische Universität Leuven 
zogen sich vom PEPP-PT zurück und ori- 
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entierten sich nur noch auf das dezent- 
rale Projekt DP3T.** 


14 Datenspeicherung und -abgleich 
dezentral 


Am 26.04.2020 erfolgte dann eine 
erstaunliche Wende der deutschen Bun- 
desregierung in der Warn-App-Diskussi- 
on. Bisher hatte sieaufPEPP-PT mit einer 
serverbasierten Abgleichs- und Kommu- 
nikationslösung gesetzt. Nach massiver 
öffentlich geäußerter Kritik an PEPP-PT 
drohte die Akzeptanz für die Lösung 
zu schwinden. Zuletzt hatten der Cha- 
os Computer Club e.V (CCC), D64, LOAD 
e.V., das Forum InformatikerInnen für 
Frieden und gesellschaftliche Verant- 
wortung e.V. (FIfF), die Gesellschaft für 
Informatik (GI) und die Stiftung Daten- 
schutz in einem offenen Brief an Bun- 
desgesundheitsminister Jens Spahn und 
Kanzleramtschef Helge Braun gewarnt, 
die geplante zentrale Lösung sei „höchst 
problematisch”. Ungewollt gefördert 
haben den Schwenk möglicherweise die 
für den Gesundheitsschutz zuständigen 
Kommunen, die als Deutscher Land- 
kreistag in einem Brief an Spahn und 
Braun forderten, alle mit der Tracing- 
App gesammelten Daten auswerten zu 
können. Fraglich war schließlich, in- 
wieweit die PEPP-PT-Lösung mit den 
durch Apple und Google bereit gestell- 
ten Schnittstellen technisch umsetzbar 
gewesen wäre. Die Regierung favori- 
siert nun ein dezentrales Modell. Dabei 
übermitteln die Smartphones nur ihre 
Schlüssel (IDs) auf einen Server. Andere 
Geräte fragen diese Liste regelmäßig ab, 
ob eine der IDs in ihrem Kontakttage- 
buch auftaucht. 

Das nun zu verwirklichende Modell 
orientiert sich am DP3T-Konzept. Mit 
der Entwicklung wurden neben CISPA in 
Deutschland auch die Deutsche Telekom 
und SAP beauftragt. Für die Auswahl der 
Unternehmen soll eine Rolle gespielt ha- 
ben, dass diese beiden deutschen Firmen 
„auf Augenhöhe“ mit Google und Apple 
verhandeln könnten. Die Veröffentli- 
chung sollte, so Spahn in den „nächsten 
Wochen” erfolgen. Die Schweiz kündig- 
te an, den dezentralen Ansatz bereits 
zum 11.05.2020 im Land einzuführen. 
Integriert werden soll in die deutsche 
Tracing-App auch die Möglichkeit, dass 
Bürger freiwillig, in pseudonymisierter 
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Form, Daten zur epidemiologischen For- 
schung und Qualitätssicherung an das 
Robert-Koch-Institut übermitteln kön- 
nen. Dazu sollen unter anderem bereits 
von der Fraunhofer-Gesellschaft entwi- 
ckelte Komponenten genutzt werden.” 


15 Gesundheit gegen Bürgerrechte? 


Während zu Beginn der Coronakrise die 
vom Staat geforderten einschränkenden 
Maßnahmen von der großen Mehrheit 
akzeptiert wurden, tauchen seit März 
2020 zunehmend kritische Stimmen auf, 
dieforderten, den „Lockdown” zurückzu- 
fahren. Zwei Begründungsmuster domi- 
nieren dabei: Zum einen wird der ökono- 
mische Stillstand beklagt. Die Wirtschaft 
müsse wieder hochgefahren werden, um 
zu vermeiden, dass die Nebenwirkungen 
der Coronabekämpfung schlimmere Ef- 
fekte verursachen als das Virus selbst. 
Zum anderen wird rechtsstaatlich argu- 
mentiert: Staatsrechtler klagten, wir leb- 
ten in einem „Krankheitsabsolutismus” 
(Uwe Volkmann, Universität Frankfurt), 
in einem „quasi grundrechtsfreien Zu- 
stand” (Christoph Möllers, Humboldt- 
Universität Berlin); wir stünden „vor Hy- 
gienemaßnahmen ganz anderer Art: Der 
Rechtsstaat ist schwer beschmutzt. Die 
rechtsstaatliche Hygiene muss dringend 
wieder hergestellt werden, sonst droht 
hier das größte Infektionsrisiko” (Oliver 
Lepsius, Universität Münster).” Edward 
Snowden, der 2013 das weltumspannen- 
de Überwachungssystem der britischen 
und US-amerikanischen Geheimdienste 
offengelegt hat, sprach von einer „Ar- 
chitektur der Unterdrückung”, die, wenn 
auch in bester Absicht, in Reaktion auf 
Corona entsteht.*® 

Die Warnungen vor einem Abbau 
freiheitlicher und rechtsstaatlicher Ga- 
rantien sind nicht unbegründet. Doch 
ist die Situation nicht einzigartig: Bei 
jedem politischen und gesellschaftli- 
chen Umbruch gibt es Kräfte, die die- 
sen zu nutzen versuchen, um autoritä- 
re Strukturen zu stärken. Die deutsche 
Gesellschaft hat Erfahrung mit solchen 
Bestrebungen, die nun Corona zu nut- 
zen versuchen. Es geht nun darum, die 
Grundlagen unserer Gesellschaft zu 
wahren, zu denen sowohl der Gesund- 
heitsschutz als auch die Wahrung un- 
serer bürgerlichen Freiheiten gehören. 
Die Aufgabe besteht darin, angesichts 


einer neuen Herausforderung die Ver- 
hältnismäßigkeit staatlicher Eingriffe 
sicherzustellen, also dafür zu sorgen, 
dass die ergriffenen Maßnahmen mit 
ihren Grundrechtseinschränkungen ge- 
eignet, erforderlich und angemessen 
sind, um ein grundrechtswahrendes Ziel 
zu erreichen. 


16 Unsichere Fakten und Bewer- 
tungsgrundlagen 


Das Problem beim Coronavirus ist, 
dass dieses vor wenigen Monaten noch 
völlig unbekannt und unerforscht war. 
Ausbreitungswege, Risiken und Be- 
kämpfungsmöglichkeiten waren und 
sind weiterhin in vieler Hinsicht unklar. 
Dies bedingt, dass die Politik zu einem 
Vorgehen gezwungen ist, das von Ver- 
such und Irrtum geprägt ist. Das Prob- 
lem der Unsicherheit wird dadurch ver- 
stärkt, dass etwa die Hälfte der Corona- 
infektionen offenbar präsymptomatisch 
erfolgt, also bevor der Überträger des 
Virus überhaupt Anzeichen einer Krank- 
heit bemerkt hat. Effekte von Maßnah- 
men lassen sich nur mit Zeitverzöge- 
rung messen. 

Grundlage für alle Maßnahmen muss 
in einem aufgeklärten Rechtsstaat sein, 
dass sämtliche Maßnahmen trotz der 
Unkenntnis vieler Wirkmechanismen - 
soweit wie möglich - wissenschaftlich 
begründet sind. 

Es gibt keine klaren Vorgaben, wie die 
Grundrechte in Beziehung zueinander zu 
stellen sind. Nach unserem Verfassungs- 
verständnis gibt es keinen Vorrang eines 
Grundrechtes, weder der unternehmeri- 
schen Freiheit (Art. 16 GRCh), die z.B. 
in seiner US-amerikanischen Lesart der 
US-Präsident Donald Trump über alles 
stellt, oder auch nicht des Grundrechts 
auf körperliche Unversehrtheit und auf 
Gesundheit (Art. 2 Abs. 1 GG, Art. 3, 35 
GRCh).?° 


17 Abwägen 


Auch in der Coronakrise ist der Schutz 
der Persönlichkeitsrechte eine „ele- 
mentare Funktionsbedingung eines auf 
Handlungs- und Mitwirkungsfähigkeit 
seiner Bürger begründeten freiheit- 
lich demokratischen Gemeinwesens”.* 
Kommen Apps zum Einsatz, ist nicht 
nur das Grundrecht auf Datenschutz, 
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sondern sind möglicherweise auch das 
Telekommunikationsgeheimnis (Art. 10 
GG, Art. 7 GRCh), der Schutz der Familie 
(Art. 6 GG, Art. 7 GRCh), das Wohnungs- 
grundrecht (Art. 13 GG, Art. 7 GRCh) und 
die Freizügigkeit (Art. 11 GG, Art. 21 
AEUV) betroffen. Auch dem allgemei- 
nen Persönlichkeitsrecht (Art. 2 Abs. 1 
1.V.m. 1Abs. 1 GG) und den diesen kon- 
kretisierenden Grundrechten kommt 
kein grundsätzlicher Vorrang zu. Nö- 
tig ist eine praktische Konkordanz der 
Grundrechte. 

Maßnahmen dürfen nicht vorschnell 
ergriffen werden. Sie bedürfen der sorg- 
sam abwägenden Bewertung und einer 
gesetzlichen Eingriffsgrundlage. Sie dür- 
fen nicht dauerhaft erfolgen und müssen 
auf ihre Berechtigung hin immer wieder 
überprüft werden. Alle neu erwogenen 
Maßnahmen müssen sich daran messen 
lassen, ob sie für eine wirkungsvolle Pan- 
demiebekämpfung wirklich zielführend 
und erforderlich sind und ob sie den 
Verfassungsgrundsatz der Verhältnismä- 
figkeit einhalten. Notfallmaßnahmen 
dürfen nicht zu einer langwirkenden Ver- 
schiebung zugunsten staatlicher Über- 
wachung und zu Lasten freier und unbe- 
obachteter Aktion, Bewegung und Kom- 
munikation der Bürgerinnen und Bürger 
führen. Die Menschen erwarten von allen 
Beteiligten, dass sie die für die Vorsorge 
und Bekämpfung der Pandemie notwen- 
digen Informationen zur Verfügung stel- 
len und die Maßnahmen nachvollziehbar 
und transparent begründen. 

Damit einher geht die Pflicht der Ver- 
antwortlichen zum sorgsamen Umgang 
mit personenbezogenen Daten. Das 
Recht des Einzelnen auf Schutz seiner 
personenbezogenen Daten - insbeson- 
dere soweit es sich um Gesundheitsda- 
ten handelt - steht auch in Krisenzeiten 
nicht zur Disposition der Gesetzgeber 
oder der Behörden. Bei der Auslegung 
des Datenschutzrechts müssen die le- 
bens- oder gesundheitswichtigen In- 
teressen der Menschen und der Gesell- 
schaft berücksichtigt werden. Das Recht 
verlangt auch insofern von den Verant- 
wortlichen eine sachgerechte Interessen- 
abwägung.“ 


18 Rechtsgrundlagen 


Die Rechtslage zur Pandemiebekämp- 
fung ist übersichtlich: Es gilt das allge- 
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meine Polizeirecht, wonach die Polizei 
und die Ordnungsbehörden die Befug- 
nis haben, die zur Abwehr einer konkre- 
ten Gefahr notwendigen Maßnahmen zu 
ergreifen. Neben der polizeirechtlichen 
Generalklausel, die aber nur die Abwehr 
einer konkretisierten Gefahr gegen eine 
bestimmte Person per Verwaltungsakt 
ermöglicht, gibt es das Instrument der 
Allgemeinverfügung, das Gefahren ab- 
wehrende Maßnahmen gegenüber ei- 
nem größeren Adressatenkreis vorsehen 
kann. Ob dem Staat ein Nothilferecht 
zusteht, ist stark umstritten; dieses be- 
schränkt sich aber in jedem Fall auf die 
Abwehr von im Hinblick auf Ort, Zeit 
und Personen konkretisierten Gefahren. 

Das Katastrophenschutzrecht der 
Länder sieht bisher keine spezifischen 
informationellen Maßnahmen vor. An- 
wendbar ist das Infektionsschutzgesetz 
des Bundes (IfSG). 

Die Nationale Akademie der Wissen- 
schaften Leopoldina schlug in ihrer 
3. Ad-hoc-Stellungnahme vom 13.04.2020 
vor, den Rechtsrahmen des Datenschut- 
zes im Zusammenhang mit der Pande- 
miebekämpfung zu überprüfen: „An- 
gesichts der Erfahrung der derzeitigen 
Pandemie sollten auf europäischer Ebe- 
ne die Datenschutzregelungen für Aus- 
nahmesituationen überprüft und ggfs. 
mittelfristig angepasst werden. Dabei 
sollte die Nutzung von freiwillig be- 
reit gestellten personalisierten Daten, 
wie beispielsweise Bewegungsprofilen 
(GPS-Daten) in Kombination mit Con- 
tact-Tracing in der gegenwärtigen Kri- 
sensituation ermöglicht werden.”“ Die- 
se Passage der Stellungnahme spielte in 
der weiteren Diskussion um notwendige 
Maßnahmen zwar keine wesentliche 
Rolle, lässt aber erkennen, dass von 
den Wissenschaftlern der aktuell gere- 
gelte Datenschutz als ein Hindernis zur 
Covid-19-Bekämpfung angesehen wird. 


19 Infektionsschutzgesetz 


Die Anwendung des IfSG als speziel- 
les Gefahrenabwehrrecht führt dazu, 
dass in den geregelten Bereichen der 
Rückgriff auf das allgemeine Polizei- 
recht ausgeschlossen ist. In 8 4 Abs. 1 
IfSG ist dem Robert Koch-Institut (RKT) 
als zuständiger nationaler Behörde die 
Befugnis eingeräumt, im Rahmen von 
Maßnahmen zur Überwachung, Verhü- 


tung und Bekämpfung von übertragba- 
ren Krankheiten, soweit erforderlich, 
personenbezogene Daten zu verarbei- 
ten. Nach 8 4 Abs. 3 1fSGistdasRKlauch 
zur internationalen Kooperation befugt 
zur Vorbeugung einer möglichen grenz- 
überschreitenden Ausbreitung über- 
tragbarer Krankheiten und zur dauer- 
haften wissenschaftlichen Zusammen- 
arbeit. Es darf auch insofern im Rahmen 
der Erforderlichkeit personenbezogene 
Daten austauschen. 

Angesichts der neuen Herausforde- 
rungen durch die Corona-Pandemie 
wurde das Gesetz im März 2020 ergänzt 
insbesondere um die 88 5, 5a mit Rege- 
lungen zur „Epidemischen Lage von na- 
tionaler Tragweite”.“” Ing 5 Abs. 2Nr. 1, 
2 IfSG ist vorgesehen, dass „ausschließ- 
lich zur Feststellung und Verhinderung 
einer Einschleppung einer bedrohlichen 
übertragbaren Krankheit” von Einrei- 
senden und Beförderungsunternehmen 
personenbezogene Daten erhoben wer- 
den dürfen. In den 88 6 ff. IfSG ist aus- 
führlich und detailliert die Meldepflicht 
von Verdächten, Erkrankungen und To- 
desfällen zu spezifischen Krankheiten 
normiert einschließlich innerdeutscher 
(8 11 IfSG) und völker- und unions- 
rechtlicher (8 12 IfSG) Übermittlungen. 
Die Meldepflicht des Coronavirus (2019- 
nCoV) wurde mit der Verordnung über 
die Ausdehnung der Meldepflicht nach 
88 6 Abs. 6S. 1 Nr. 1, 7 Abs. 15. 1 IfSG 
des BMG vom 30.01.2020 (CoronaVMel- 
deV) eingeführt. Im Rahmen der Mel- 
depflicht sind neben Namen, weiteren 
Identifizierungsdaten sowie präzisen 
Angaben zur Krankheit anzugeben, die 
„&) wahrscheinliche Infektionsquelle, 
einschließlich der zugrunde liegenden 
Tatsachen, 1) in Deutschland: Landkreis 
oder kreisfreie Stadt, in dem oder iin der 
die Infektion wahrscheinlich erworben 
worden ist, ansonsten Staat, in dem 
die Infektion wahrscheinlich erworben 
worden ist“ (8 9 Abs. 1 Nr. 1 IfSG). Ge- 
mäß 8 14 IfSG richtet das RKI ein elek- 
tronisches Melde- und Informationssys- 
tem ein. 

& 16 Abs. 1S. 1 IfSG erlaubt den zu- 
ständigen Behörden, also dem RKI, den 
obersten Landesgesundheitsbehörden 
sowie den nachgeordneten Gesund- 
heitsämtern der Städte und Kreise (8 54 
IfSG), nach Feststellung von Tatsachen, 
„die zum Auftreten einer übertragbaren 
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Krankheit führen können”, die „not- 
wendigen Maßnahmen zur Abwendung 
der dem Einzelnen oder der Allgemein- 
heit hierdurch drohenden Gefahren” zu 
treffen. In Satz 2 wird dann festgestellt: 
„Die bei diesen Maßnahmen erhobenen 
personenbezogenen Daten dürfen nur 
für Zwecke dieses Gesetzes verarbeitet 
werden.” 

Die konkrete Bekämpfung übertrag- 
barer Krankheiten wird in den 88 24 ff. 
IfSG geregelt. Dabei besteht für die Fest- 
stellung und Heilbehandlung der mel- 
depflichtigen Krankheiten ein Arztvor- 
behalt (8 24 S. 1). Die Gesundheitsämter 
dürfen die „erforderlichen Ermittlun- 
gen“ durchführen (8 25 Abs. 1). & 28 
Abs. 1 IfSG erlaubt „die notwendigen 
Schutzmaßnahmen” gegenüber Kran- 
ken, Krankheits- und Ansteckungsver- 
dächtigen sowie Ausscheidern, insbe- 
sondere deren Beobachtung (8 29 IfSG), 
die Quarantäne (8 30 IfSG) und ein be- 
rufliches Tätigkeitsverbot (8 31 IfSG). 

Auch nach der aktuellen Änderung 
des IfSG setzen alle informationel- 
len Maßnahmen zumindest einen An- 
steckungsverdacht sowie die konkre- 
te Erforderlichkeit der Erfassung und 
Verarbeitung von Daten voraus. Dies 
bedeutet, dass informationelle Maß- 
nahmen gegenüber Personen im Vor- 
feld einer möglichen Ansteckung wei- 
terhin unzulässig sind. Die Erfassung 
von Menschen ohne einen konkreten 
Verdacht ist unzulässig, wenn nicht die 
Betroffenen hierzu ausdrücklich ihre 
Einwilligung erteilt haben (Art. 9 Abs. 2 
lit. a DSGVO). Bei einer Einwilligung ist 
Voraussetzung, dass diese sich im Rah- 
men der gesetzlichen Aufgabe der Be- 
hörde bewegt, diese freiwillig erteilt wird 
und zuvor eine umfassende Aufklärung 
erfolgte. Zur Freiwilligkeit gehört auch 
die jederzeitige Widerrufbarkeit, was die 
weitere Verarbeitung der erlangten Da- 
ten verhindert (Art. 7 Abs. 3 DSGVO). 


20 Zwecke von Apps 


Bei der Diskussion, was aus Daten- 
schutzsicht zur Coronaeindämmung 
nötig und erlaubt ist, kommt es darauf 
an, welche Zwecke mit den einzuset- 
zenden Instrumenten verfolgt werden. 
Dabei stehen im EU-Kontext das Verfol- 
gen von Infektionswegen und die früh- 
zeitige Warnung möglicher Infizierter 
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im Vordergrund. Außerdem geht es dem 
RKI um die Nutzung erlangter Daten für 
Forschungszwecke unter dem Stichwort 
„Datenspende”, wobei hierbei der Da- 
tenschutz leider zumeist nur am Rande 
adressiert wird. Apps können zur ein- 
fachen und schnellen Kommunikation 
zwischen Betroffenen und Behörden 
genutzt werden. Ein Blick in andere 
Staaten, insbesondere in Asien, aber 
auch z.B. nach Polen, zeigt, dass Daten 
für repressive Zwecke genutzt werden, 
etwa zur Kontrolle von Quarantänemaß- 
nahmen und zu deren sanktionierender 
Durchsetzung.‘ Bisher scheint in der EU 
aber weitgehend Konsens zu bestehen, 
dass solche repressiven Maßnahmen 
weder zielführend, geschweige denn 
- mangels gesetzlicher Grundlage und 
Verhältnismäßigkeit - zulässig sind. 

Skepsis ist aber auch bei den präven- 
tiven Maßnahmen berechtigt, die regel- 
mäßig damit beworben werden, dass sie 
freiwillig und anonym seien. Von Anony- 
mität kann bei den Tracing-Apps keine 
Rede sein, da deren Zweck es ist, indi- 
vidualisierte Rückmeldungen zu geben. 
Korrekterweise handelt es sich dabei 
um pseudonyme, also personenbezieh- 
bare Datenverarbeitung.‘ Von der Qua- 
lität des Pseudonymisierungsverfahrens 
hängt es ab, wie groß das Risiko einer 
zweckwidrigen Reidentifizierung ist. 

Freiwilligkeit ist bei der Seuchen- 
bekämpfung nicht unabdingbar. Sie 
ist aber in einer freiheitlichen Gesell- 
schaftsordnung wie der unseren von 
zentraler Bedeutung dafür, dass viele 
Menschen sich nachhaltig und enga- 
giert beteiligen.‘ Lässt sich ein Ziel 
nicht ohne staatlichen Zwang realisie- 
ren, dann bedürfte es einer gesetzlichen 
Regelung, die ein überwiegendes öffent- 
liches Interesse im Bereich der öffentli- 
chen Gesundheit verfolgt (Art. 9 Abs. 2 
lit. iDSGVO). 


21 Einwilligung 


In Deutschland und in der EU besteht 
derzeit weitgehend Konsens, dass jede 
App-Anwendung auf einer Einwilligung 
basieren muss. Bei Angaben zu Infektio- 
nen handelt es sich um Gesundheitsda- 
ten, ebenso, wenn z.B. Daten zu Kömer- 
temperatur, Puls, Blutdruck usw. über 
Wearables erhoben werden. Dies gilt 
auch für weitere Angaben, etwa soziale 


Kontakte, Aufenthaltsorte und -zei- 
ten, wenn diese mit den medizinischen 
Angaben kombiniert sind. Es kommt 
dann Art. 9 Abs. 1, 2 lit. a DSGVO zur 
Anwendung, wonach die Einwilligung 
sich ausdrücklich auf diese Datenver- 
arbeitung beziehen muss. Bei der digi- 
talen Überwachung sozialer Kontakte, 
auch wenn sie auf Einwilligungen ba- 
siert, ist höchste Vorsicht geboten. Sie 
eignet sich als Einfallstor für weitere 
Begierden, wie etwa die verpflichtende 
Nutzung solcher Apps.‘ Lokalisierungs- 
daten haben ebenso eine hohe Sensi- 
tivität, da über sie Bewegungsbilder 
erstellt und viele Rückschlüsse auf wei- 
tere Umstände möglich sind. 

Voraussetzung für eine wirksame 
Einwilligung ist die Freiwilligkeit, Be- 
stimmtheit und Eindeutigkeit der Wil- 
lensbekundung zur Verarbeitung (Art. 4 
Nr. 11 DSGVO). Die Einwilligung muss 
jederzeit mit Wirkung für die Zukunft 
widerrufbar sein (Art. 7 Abs. 3 DSGVO). 
Mitunter wird die Freiwilligkeit wegen des 
sozialen Drucks zur Nutzung von Apps in 
Frage gestellt.“ Geht dieser Druck von 
staatlicher Seite aus, etwa wenn von ei- 
ner App-Nutzung bestimmte Leistungen 
der Daseinsvorsorge abhängig gemacht 
werden, fehlt es an der Freiwilligkeit. 
Dies ist der Fall, wenn die Nutzung einer 
App zur Bedingung gemacht wird für die 
individuelle Lockerung von Ausgangs- 
beschränkungen oder für den Zugang 
zu Öffentlichen oder privaten Gebäuden 
oder zum öffentlichen Personenverkehr. 
An der Freiwilligkeit bestehen aber auch 
Zweifel, wenn Private, etwa Gaststätten 
oder Versicherungen die App-Nutzung 
zur Voraussetzung für Leistungen ma- 
chen (Art. 7 Abs. 4 DSGVO). Apps müssen 
nach Belieben installiert oder deinstal- 
liert werden können.“ Keine relevante 
Beeinträchtigung der Freiwilligkeit ent- 
steht dadurch, dass, wie bei der Tracing- 
App, von politisch Verantwortlichen da- 
rauf hingewiesen wird, dass deren Wirk- 
samkeit von einem hohen Nutzungsgrad 
abhängt, und wenn für deren Verwen- 
dung geworben wird. 


22 Datenschutzgrundsätze 
Transparenz für die Betroffenen ist 
ein grundsätzliches Erfordernis jeder 


Datenverarbeitung (Art. 5 Abs. 1 lit. a 
DSGVO) wie auch zentrale Bedingung 
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für die Informiertheit der Einwilligung. 
(Art. 4 Nr. 11 DSGVO). Die Art. 12 ff. 
DSGVO machen hierzu Vorgaben. Das 
Transparenzerfordernis bezieht sich 
auf die konkrete Datenverarbeitung, 
die verfolgten Zwecke und die ergriffe- 
nen Schutzmaßnahmen. Die Erforder- 
lichkeit einer Maßnahme muss plau- 
sibel begründet werden. Ist dies, wie 
im konkreten Zusammenhang oft, nur 
beschränkt möglich, so muss dies offen 
kommuniziert werden. 

Zur Transparenz gehört es, dass die 
eingesetzte Software unabhängig über- 
prüft wird und werden kann. Ein mögli- 
ches Instrument hierfür kann die Zerti- 
fizierung nach Art. 42 DSGVO sein. Eine 
aus Datenschutzsicht eher fragwürdige 
Zulassung von digitalen Gesundheits- 
Anwendungen sieht der Ende 2019 
eingeführte 8 33a SGB V vor. Valide ist 
dagegen eine Veröffentlichung des Pro- 
grammcodes als Open Source, so dass 
dieser kritisch von Experten hinterfragt 
und bewertet werden kann.°® 

Ein zentraler Grundsatz des Daten- 
schutzes ist die Richtigkeit der Daten. 
Die Relevanz des Grundsatzes nimmt zu, 
je wichtiger der damit verfolgte Zweck 
ist. So muss die Richtigkeit von Weara- 
bledaten gewährleistet sein, wenn diese 
die Relevanz für Gesundheit haben. Bei 
Mobilgeräten ist die genutzte Sensorik in 
der Praxis oft nur eingeschränkt aussa- 
gekräftig für die zu erhebenden körper- 
lichen Merkmale. Sie haben auch keine 
sichere Aussagekraft zum Aufenthaltsort 
einer Person, da Mobilgeräte an andere 
Person weitergegeben oder abgelegt wer- 
den können. Bei der Feststellung von an- 
steckungsrelevanten Kontakten kommt 
es darauf an, wie räumlich präzise und 
wie zeitlich intensiv diese sind. Ungeeig- 
net sind hierzu Funkzellenzuordnungen, 
aber zumeist auch GPS-Daten, da diese 
zumeist nur zweidimensionale Aussagen 
erlauben. Digital schwer erfassbar sind 
Umstände zu Schutzmaßnahmen (Mas- 
ken, Kleidung) und Kontexten (drinnen/ 
draußen, Krankenhaus, Supermarkt, 
Restaurant), die für die Aussagekraft 
von Daten oft von zentraler Bedeutung 
sind. Der Grundsatz der Datenrichtigkeit 
verpflichtet zur Abbildung dieser Unwäg- 
barkeiten, etwa indem berücksichtigt 
wird, ob und inwieweit nur Wahrschein- 
lichkeits- bzw. Risikoaussagen gemacht 
werden. 
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Der Grundsatz der Speicherbegrenzung 
(Art. 5 Abs. 1 lt. E DSGVO) sieht vor, 
dass identifizierende Daten nur solan- 
ge gespeichert werden dürfen, wie es 
für den Verarbeitungszweck erforder- 
lich ist. Bei einer Sekundärnutzung 
für wissenschaftliche Zwecke ist, wenn 
geeignete technisch-organisatorische 
Maßnahmen zum Einsatz kommen, eine 
längere Speicherung erlaubt. D.h. nach 
Zweckerreichung sind die zuordnen- 
den Probandendaten zu löschen oder 
zumindest zu anonymisieren (Art. 17 
Abs. 1 lit. a, Abs. 3 lit. d DSGVO). Gera- 
de im Hinblick auf die Löschpflicht ist 
eine präzise Beschreibung des Verarbei- 
tungszwecks dringend nötig. So besteht 
weitgehend Einigkeit, dass per Blue- 
tooth erfasste Kontaktdaten zum Zweck 
der Warnung vor einer möglichen Infek- 
tion angesichts der Inkubationszeit und 
der nötigen Zeit zur Feststellung und 
Kommunikation einer Infektion spä- 
testens nach 14 Tagen gelöscht werden 
können und müssen. 

Hinsichtlich der Integrität und Ver- 
traulichkeit (Art. 5 Abs. 2 lit. f DSGVO) 
kommen im Interesse der technisch-or- 
ganisatorischen Sicherheit (Art. 32 DS- 
GVO, 8 22 Abs. 2 BDSG) weitere Aspekte 
hinzu:Wo werden Daten gespeichertbzw. 
abgeglichen: dezentral oder zentral, auf 
dem Gerät des Betroffenen oder auf ei- 
nem Server eines Hintergrundsystems? 
Welche Formen der Verschlüsselung 
und der Pseudonymisierung werden ge- 
wählt? Welche Missbrauchsrisiken sind 
mit bestimmten technischen Verfahren, 
etwa dem Bluetooth-Einsatz, verbun- 
den? Wird und wie wird verhindert, dass 
Plattform-, Hardware- und Software- 
Anbieter auf die Daten einer konkreten 
Corona-Anwendung Zugriff nehmen 
können? Durch die Technikgestaltung 
muss eine weitestgehende Datenmi- 
nimierung erreicht werden (Art. 25 
Abs. 1,2 DSGVO). 


23 Der Nutzen von Warn-Apps 


Angesichts der vielen Unwägbarkei- 
ten gibt es Stimmen, die schon die Ge- 
eignetheit von App-Anwendungen zur 
Coronabekämpfung in Frage stellen. 
App-Warnungen sind für die Betrof- 
fenen nur sinnvoll, wenn diesen dar- 
aufhin wirksame Schutzmaßnahmen 
möglich sind. Schutzmaßnahmen sind 


auch ohne App möglich und dringend 
zu empfehlen. So sind die Beachtung 
von Distanzgeboten oder die Atem- 
schutzmaskennutzung unabhängig von 
digitalen Maßnahmen. Durch digitale 
Warnungen ausgelöste Schutzmaßnah- 
men sollen darin bestehen, dass früh- 
zeitig ein Test durchgeführt wird. Im 
Fall eines positiven Befundes können 
präventive Behandlungsmaßnahmen 
ergriffen werden sowie Vorkehrungen 
zur Vermeidung weiterer Infektionen. 
Tests können aber nicht die Infektion 
verhindern. 

Angesichts fehlender Behandlungs- 
möglichkeiten bei einer SARS-CoV-2-In- 
fektion ist der individuelle Nutzen für 
den Betroffenen selbst eingeschränkt. 
Der hauptsächliche Nutzen liegt darin, 
dass weitere Infektionen vermieden 
und dadurch Andere geschützt werden. 
Ermöglicht eine Corona-App es tatsäch- 
lich Infektionswege nachzuvollziehen, 
so sind diese Informationen aus wissen- 
schaftlicher Sicht von Bedeutung. Das 
Nachvollziehen von Infektionswegen 
wird aber bei Vielfachmeldungen auf- 
grund einer massenhaften Durchseu- 
chung wieder schwierig oder gar un- 
möglich. 

Aussagen zur Geeignetheit lassen sich 
nicht pauschal machen. Vielmehrbedarf 
es einer präzisen Prüfung der eingesetz- 
ten Technik in Hinblick auf die konkret 
verfolgten Ziele zu einem bestimmten 
Zeitpunkt in einer bestimmten Umge- 
bung unter Berücksichtigung vieler 
externer Aspekte. Solche Aspekte kön- 
nen auch im ökonomischen und psychi- 
schen Bereich liegen. Die Rate der An- 
wendungsverweigerer oder Nichtnutzer 
sowie deren soziale Zusammensetzung 
können Auswirkungen auf die Geeig- 
netheit haben. 

Corona-Apps sollen eine „systemati- 
sche und umfassende Bewertung per- 
sönlicher Aspekte” ermöglichen, indem 
eine „umfangreiche Verarbeitung be- 
sonderer Kategorien von personenbe- 
zogenen Daten” erfolgt und dies erfolgt 
durch eine „systematische umfangrei- 
che Überwachung öffentlich zugäng- 
licher Bereiche”. Nutzen und Risiken 
derartiger Anwendungen müssen des- 
halb in jedem Fall einer Datenschutz- 
Folgenabschätzung zugeführt werden 
(Art. 35 Abs. 3 DSGVO).°' Die informa- 
tionellen Maßnahmen gegen Covid-19 
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sollten zudem regelmäßig nach kurzen 
Zeiträumen einer Evaluation unterwor- 
fen werden. 


24 Gesetzgebungsbedarf 


Der Einsatz von digitalen Instrumen- 
ten zur Eindämmung von Covid-19 ist 
voraussetzungsvoll und von Unwäg- 
barkeiten begleitet. Es besteht aber mit 
der DSGVO ein valider Rechtsrahmen, 
mit dem auf freiwilliger Basis unter- 
stützende Maßnahmen durchgeführt 
werden können.’ Bei diesen Maßnah- 
men muss verhindert werden, dass der 
freiheitliche Charakter unserer gesell- 
schaftlichen Ordnung verlassen wird. 
Autoritäre Bestrebungen finden in Kri- 
senzeiten schnell Gehör - auch bei uns 
in Deutschland. 

Auch wenn der allgemeine Rahmen 
ausreichend erscheint, so besteht bzgl. 
der spezifischen Regulierung Diskussi- 
onsbedarf. Falsch ist die Forderung des 
Deutschen Ethikrats, angesichts der be- 
stehenden gesundheitlichen Herausfor- 
derungen die Anforderungen an Zweck- 
bindung und Datenminimierung herun- 
terzufahren, um dann mit Hilfe von Big 
Data und sog. Künstlicher Intelligenz 
neue Antworten geben zu können.’’ Das 
Infektionsschutzgesetz bietet, soweit 
dies nach den bisherigen Erfahrungen 
beurteilt werden kann, einen validen 
Rahmen für die notwendigen informa- 
tionellen Maßnahmen zum Umgang mit 
Pandemien. 

Ein rechtliches Einfallstor für Ver- 
traulichkeit und Zweckbindung von 
personenbezogenen Gesundheitsdaten 
besteht derzeit, wenn Daten von den 
Betroffenen selbst bereitgestellt werden. 
Dies beginnt mit der Vertrauenswür- 
digkeit der IT-Verfahren. Die im SGB V 
in & 33a vorgesehenen Instrumente 
zur Bewertung von digitalen Gesund- 
heitsanwendungen sind ungenügend. 
Die in der DSGVO vorgesehenen Mög- 
lichkeiten zur Zertifizierung sind noch 
nicht in der Praxis angekommen. Die 
ärztliche Schweigepflicht, mit der eine 
gesundheitsbezogene Zweckbindung 
hergestellt werden könnte, gilt bei die- 
sen Anwendungen bisher nicht oder nur 
eingeschränkt. 

Entsprechendes gilt für die freiwillige 
Bereitstellung von Gesundheitsdaten 
für die medizinische Forschung. So ist für 
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die dem RKI von Betroffenen per „Da- 
tenspende” über Gesundheits-Apps be- 
reitgestellten Daten trotz der ärztlichen 
Leitung des RKI das Patientengeheimnis 
in Form der ärztlichen Schweigepflicht 
nicht anwendbar. Nötig wäre daher eine 
umfassende gesetzliche Etablierung ei- 
nes Forschungsgeheimnisses, das For- 
schungsdaten von der Beschlagnahme 
für Strafverfolgungszwecke freistellt. 

Der „Sachverständigenrat Gesund- 
heit“, ein Gremium, das die Politik in 
gesundheitspolitischen Fragen berät, 
nahm die Corona-Pandemie zum An- 
lass, eine verstärkte Digitalisierung des 
Gesundheitswesens zur fordern. Wäre 
Deutschland weiter, etwa bei der Einfüh- 
rung einer elektronischen Gesundheits- 
akte, bei der Telemedizin oder beim Da- 
tenaustausch über Gesundheitsnetze, 
„könnten wir längst mehr über Covid-19 
wissen und so Menschenleben retten” .’* 
So richtig die Forderung ist, so falsch 
ist die Begründung: Die Pandemie hat 
auch hochdigitalisierte Staaten von 
hinten erwischt. Bei einer Krankheit, 
über die - wie bei Covid-19 - zunächst 
nichts bekannt ist, kann Digitalisierung 
allenfalls einen begrenzten Beitrag leis- 
ten zu einem umfangreichen Maßnah- 
mebündel. Im hochdigitalisierten Süd- 
korea wurden mit MERS Erfahrungen ge- 
sammelt, die bei der Eindämmung von 
SARS-CoV-2 zugrunde gelegt wurden. 
Aus der aktuellen Pandemie können 
Lehren gezogen werden. Die wirksamen 
Gegenmaßnahmen sind bisher vor allem 
medizinische oder analog körperliche 
- vom Maskentragen und Abstandswah- 
ren bis hin zur Testung, Untersuchung 
und Behandlung. Diese können auch di- 
gital sein. Bei diesen Maßnahmen muss 
jeweils geprüft werden, inwieweit hier- 
bei Grundrechtseingriffe erfolgen und 
inwieweit deshalb gesetzliche Grundla- 
gen mit Sicherheitsvorkehrungen nötig 
sind. 

Wir befinden uns mitten in der Coro- 
na-Pandemie. Aus Datenschutzsicht 
ist erhöhte Aufmerksamkeit geboten. 
Zugleich sollten aber auch nicht aus 
grundsätzlichen Erwägungen des Bür- 
gerrechtsschutzes sinnvolle Datenerhe- 
bungen und -auswertungen be- und ver- 
hindert werden. Wir brauchen dafür den 
Dialog zwischen allen Beteiligten, nicht 
das Sichverschanzen in überkommenen 
Rollen. 
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Tracing-Apps datenschutzfreundlich gestalten 


und betreiben 


Die Datenschutz-Folgenabschätzung als Diskussionsermöglicher 


und Gestaltungsinstrument 


Abstract: 


Mit der Entwicklung und dem Einsatz 
von Tracing-Apps für die Verfolgung von 
CoV-2-Infektionen werden einerseits 
große Hoffnungen bei der Pandemie- 
bekämpfung verbunden, andererseits 
Befürchtungen um massive Grund- 
rechtsgefährdungen. Artikel 35 DSGVO 
verlangt von Verantwortlichen, dass sie 
eine Datenschutz-Folgenabschätzung 
(DSFA) durchführen, wenn ihre Daten- 
verarbeitung wahrscheinlich zu einem 
hohen Risiko für die Grundrechte und 
-freiheiten führt. Eine DSFA ist eine 
strukturierte Risikoanalyse, die mögli- 
che grundrechtsrelevante Folgen der Da- 
tenverarbeitung im Voraus identifiziert 
und bewertet sowie Maßnahmen zur 
Minimierung dieser Risiken beschreibt 
oder darstellt, dass die Risiken nicht mi- 
nimiert werden können. 

WissenschaftlerInnen und Daten- 
schützerInnen im Forum Informatike- 
rInnen für Frieden und gesellschaftliche 
Verantwortung (FIfF) e.V. haben eine 
DSFA für Tracing-Apps vorgelegt, um 
eine öffentliche Debatte über die damit 
einhergehenden Risiken für Grundrechte 
und -freiheiten anzustoßen und zu infor- 
mieren. Der vorliegende Beitrag beleuch- 
tet die Hintergründe und erklärt die Wahl 
der Form einer DSFA für die Intervention 
in die gesellschaftliche Debatte. Auf zwei 
für die datenschutzrechtliche Debatte 
besonders relevante Aspekte wird an- 
schließend näher eingegangen: auf die 
Unterscheidung zwischen Freiwilligkeit 
und Einwilligung sowie auf das Problem 
von Personenbezug und Anonymisie- 
rung. Die vorgelegte DSFA setzt einen 
technischen, rechtlichen und methodi- 
schen Maßstab dafür, wie in Zukunft die 
Funktionen von Verarbeitungsverfahren 
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und die daraus sich ergebenden Daten- 
schutzrisiken für Betroffene und die Ge- 
sellschaft zu analysieren, zu bestimmen 
und gegebenenfalls zu verringern sind. 


Seit der Ausbreitung des SARS-CoV- 
2-Virus in Europa Anfang 2020 wird der 
Ruf nach technischen Lösungen lauter, 
die bei der Bekämpfung oder Eindäm- 
mung der Pandemie zum Einsatz kom- 
men sollen. Im Zentrum der Debatten 
stehen Tracing-Apps, die aufgrund der 
globalen Verbreitung von Smartphones 
mit der Verheißung aufgeladen werden, 
die herkömmlichen Verfahren zur Erfor- 
schung des epidemiologischen Verlaufs 
zu unterstützen. Diese Systeme würden 
automatisiert die zwischenmenschli- 
chen Kontakte aller NutzerInnen auf- 
zeichnen und es so erlauben, die In- 
fektionsketten des Virus schnell und 
effizient - auch rückwirkend - nach- 
zuvollziehen, um möglicherweise ex- 
ponierte Personen frühzeitig isolieren 
zu können. Unter den verschiedenen 
eingesetzten Systemen und Systement- 
würfen stechen jene hervor, die damit 
werben, den Anforderungen der DSGVO 
zu entsprechen. Die DSGVO selbst ver- 
pflichtet die BetreiberInnen umfang- 
reicher Datenverarbeitungssysteme, 
zu denen auch solche Tracing-Apps in 
jedem Fall zählen, zur Anfertigung ei- 
ner Datenschutz-Folgenabschätzung 
(DSFA) aufgrund des hohen Risikos für 
die Grundrechte und -freiheiten (Art. 35 
DSGVO). Bei einer DSFA handelt es sich 
um eine strukturierte Risikoanalyse, 
die mögliche grundrechtsrelevante Fol- 
gen einer Datenverarbeitung im Vorfeld 
identifiziert und bewertet, Maßnahmen 
beschreibt, mit denen diese Risiken ad- 
ressiert werden sollen, oder darstellt, 
dass und warum es solche Maßnahmen 


im konkreten Fall nicht gibt oder geben 
kann. 

Nur für ein einziges derzeit eingesetz- 
tes oderin der Entwicklung befindliches 
System zur Kontaktverfolgung hat die 
entsprechende BetreiberIn bisher eine 
solche DSFA öffentlich zur Verfügung 
gestellt.’ Zwarhat derBundesbeauftrag- 
te für den Datenschutz und die Informa- 
tionsfreiheit, Ulrich Kelber, am 8. April 
2020 auf Twitter erklärt, seiner Behörde 
sei eine DSFA für die „Datenspende”- 
App des Robert-Koch-Instituts (RKI) 
vorgelegt worden,? aber weder ist diese 
öffentlich gemacht worden noch gibt 
es Informationen über den Prüfumfang 
oder die Prüftiefe. 

Vor diesem Hintergrund hat sich 
eine Gruppe WissenschaftlerInnen und 
DatenschützerInnen im Forum Infor- 
matikerInnen für Frieden und gesell- 
schaftliche Verantwortung (FIfF) e.V. 
zusammengefunden, um eine DSFA für 
Corona-Apps auszuarbeiten (Bock et al. 
2020). In diesem kurzen Beitrag wollen 
wir die Hintergründe beleuchten und 
erklären, warum wir für unsere Inter- 
vention die Form einer DSFA gewählt 
haben. Anschließend werden wir zwei 
Aspekte herausgreifen, die uns als für 
die datenschutzrechtliche Debatte be- 
sonders relevant erscheinen: erstens die 
Unterscheidung zwischen Freiwilligkeit 
und Einwilligung und zweitens das Pro- 
blem von Personenbezug und Anonymi- 
sierung. 


Die DSFA als Diskussionsermöglicher 
und Gestaltungsinstrument 


Wir haben es angesichts der geplan- 
ten Corona-Tracing-Systeme mit einem 
gesellschaftlichen Großexperiment zur 
digitalen Verhaltenserfassung unter 
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staatlicher Aufsicht in Europa zu tun. 
Wirksamkeit und Folgen entsprechen- 
der Apps sind bislang allenfalls teilweise 
absehbar, nicht zuletzt weil viele Eigen- 
schaften, darunter selbst ihre Zwecke, 
nicht abschließend ausgehandelt sind. 
Dennoch ist bereits deutlich, dass die 
datenschutz- und somit grundrechts- 
relevanten Folgen dieses Großexperi- 
ments nicht nur Einzelpersonen, son- 
dern die Gesellschaft als Ganze betref- 
fen. Aus diesem Grunde ist nicht nur 
die Anfertigung einer DSFA angezeigt, 
sondern insbesondere auch ihre Veröf- 
fentlichung - und eine öffentliche Dis- 
kussion. Eine solche gesellschaftliche 
Diskussion voranzutreiben, nicht nur 
in Deutschland, sondern in Europa ins- 
gesamt, war eines der Ziele, die wir mit 
der Veröffentlichung der Datenschutz- 
Folgenabschätzung auf Deutsch, Eng- 
lisch, Französisch und Spanisch verfolgt 
haben. 

Wir haben dabei zweitens die Form 
einer DSFA gewählt, weil sie einem Auf- 
bau folgt, der die für eine öffentliche 
Diskussion notwendigen Informationen 
strukturiert und zugleich umfassend 
darzustellen erlaubt. Als methodologi- 
sche Grundlage haben wir dazu das Stan- 
dard-Datenschutzmodell (SDM) in der 
Fassung V2.0a, das im November 2019 
von der 98. Konferenz der unabhängi- 
gen Datenschutzbehörden des Bundes 
und der Länder beschlossen wurde, ver- 
wendet. Damit gelingt es, nicht allein 
die grundrechtsrelevanten Folgen einer 
Datenverarbeitung zu identifizieren, 
sondern auch darzustellen, auf welchen 
Annahmen diese Risikoanalyse basiert: 
Annahmen über AkteurInnen, ihre Ei- 
genschaften und Interessen, die dann 
als AngreiferInnen auf Grundrechte auf- 
treten können, über das Verarbeitungs- 
verfahren und seinen Zweck und über 
die technischen Systeme, die in dieses 
Verfahren eingebettet sind. Erst diese 
Offenlegung ermöglicht eine informierte 
gesellschaftliche Debatte. 

Und drittens soll die von uns vorge- 
legte DSFA als Maßstab für alle zukünf- 
tigen DSFAen dienen. So soll verhindert 
werden, dass mit Hilfe von defizitären 
oder gar „Marketing-DSFA” (Friedewald 
et al. 2016: 21) Betroffenen und Auf- 
sichtsbehörden die Risikolosigkeit einer 
Technologie oder eines Systems verkauft 
wird, indem mit geringem Aufwand eine 
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DSFA durchgeführt wird, die auf engen 
Systemdefinitionen, intransparenten 
Kriterien für Risikoidentifikation und 
-bewertung und einer Gleichsetzung von 
Kriterien der Informationssicherheit mit 
denen des Datenschutzrechts basiert. 
An der einen oder anderen Stelle ha- 
ben wir gegenüber einer „klassischen“ 
DSFA nach Art. 35 DSGVO kleinere Än- 
derungen bei der Struktur und der Dar- 
stellungstiefe vorgenommen, die sich 
aus dem Charakter der vorliegenden 
DSFA als „Gestaltungs-DSFA” ergeben. 
Die wichtigsten vorliegenden Entwürfe 
befanden sich zum Zeitpunkt der Durch- 
führung teils noch in einem frühen Ent- 
wicklungsstadium, wobei teilweise zen- 
trale Aspekte noch nicht geklärt waren, 
die der europäische Verordnungsgeber 
aber offensichtlich bei der Niederlegung 
der Anforderungen in Art. 35 DSGVO als 
zum Durchführungszeitpunkt gegeben 
angenommen und vorausgesetzt hat. So 
war noch nicht geklärt, welche Organi- 
sation für die Gestaltung und den Be- 
trieb einer Verarbeitung mit Hilfe einer 
Tracing-App, wenn sie denn realisiert 
wird, verantwortlich sein wird.’ Ebenso 
wenig war die rechtliche und die funk- 
tionale Ausgestaltung der Datenverar- 
beitung festgelegt.‘ Für die untersuchte 
Datenverarbeitung hat das zur Folge, 
dass im Rahmen der DSFA die Konkreti- 
sierung selbst zum Gegenstand gemacht 
und damit gestaltet werden kann. Die 
Datenverarbeitung wurde dabei von 
den AutorInnen in einem rekursiven 
Prozess des wechselseitigen Aufeinan- 
der-Beziehens von rechtlichen, organi- 
satorischen und technischen Kriterien 
dergestalt entwickelt, dass sie im Urteil 
der AutorInnen den Zweck funktional 
vollumfänglich erfüllt und dabei im ge- 
ringst möglichen Umfang in die Rechte 
und Freiheiten von Personen eingreifen 
würde, wobei der Zweck im Rahmen die- 
ses Prozesses selbst auch geschärft und 
erst am Ende als Zweck im datenschutz- 
rechtlichen Sinne gesetzt wurde (vgl. 
Pohle 2018: 271, Fn. 163). Anschließend 
werden für diesen Zweck die möglichen 
Auswirkungen im Hinblick auf die Rele- 
vanz der identifizierten Risiken (Validi- 
tät), die Wirksamkeit der Maßnahmen 
und deren Belastbarkeit (Reliabilität) 
antizipiert. Eine „Gestaltungs-DSFA” in 
dieser Form macht nicht nur die Zweck- 
setzung selbst zum diskutierbaren Teil 


der das System definierenden Vorent- 
scheidungen der Verantwortlichen, sie 
erlaubt gerade auch, dass nicht nur 
einzelne Details, sondern alle Aspekte 
der Verarbeitung grundrechtsfreundlich 
gestaltet werden können, und hilft da- 
mit die Anforderungen von Art. 24 und 
Art. 25 DSGVO - Accountability und Da- 
tenschutz by Design - zu erfüllen. 

Ganz wesentlich für eine DSFA nach 
der DSGVO ist, dass nicht eine hervor- 
stechende Technik, in diesem Falle die 
Corona-App, in den Fokus gestellt wird. 
Im Fokus der DSFA steht stattdessen das 
Verfahren insgesamt, das aus mehreren 
personenbezogenen Verarbeitungs- 
tätigkeiten besteht, in denen selbst 
wieder Vorgänge oder Vorgangsreihen 
stattfinden oder vorgenommen werden 
- teilweise technikgestützt. Die Be- 
trachtung muss also über die Nutzung 
der App hinausgehen, denn die Grenze 
der App ist nicht die Grenze der Verar- 
beitung. 

Ebenso wesentlich ist eine umfassen- 
de Kontextierung. Nicht nur hilft sie bei 
der Identifizierung der möglichen An- 
greiferInnen und der Konkretisierung 
der Zwecke, sieist vor allem erforderlich 
für die rechtliche Abwägung im Rahmen 
der Verhältnismäßigkeitsprüfung nach 
Art. 35 Abs. 7 lit.b DSGVO. 


Freiwilligkeit und Einwilligung 


In Bezug auf die Nutzung der App fal- 
len üblicherweise die Begriffe Freiwillig- 
keit und Einwilligung, die jedoch oft ver- 
mischt werden. Dabei bezeichnet der ers- 
te Begriff den Umstand, ob Personen sich 
selbst entscheiden können, die App zu 
nutzen oder aber ob die Nutzung der App 
vorgeschrieben ist, sie also zwangswei- 
se von allen genutzt werden muss. Beim 
zweiten Begriff der Einwilligung geht es 
konkret um die datenschutzrechtliche 
Frage, auf welcher Rechtsgrundlage die 
Datenverarbeitung stattfinden soll. Bei 
einer Einwilligung wird der BenutzerIn 
vorgelegt, welche Datenverarbeitung die 
App und das dahinter liegende System 
innerhalb des Datenverarbeitungsver- 
fahrens genau vornimmt, und dann eine 
Zustimmung dafür eingeholt. Insofern 
diese Entscheidung gem. Art. 4 Nr. 11 
DSGVO informiert, spezifisch, aktiv und 
unbeeinflusst getroffen wird, gilt sie 
rechtlich als Einwilligung (Art. 6 Abs. 1 
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lit. a, Art. 7 DSGVO). Es gibt jedoch auch 
andere Rechtsgrundlagen für eine Daten- 
verarbeitung, etwa die Erforderlichkeit 
der Datenverarbeitung für die Erfüllung 
eines Vertrages (Art. 6 Abs. 1 lit. b DS- 
GVO) oder aber auf Basis eines Gesetzes 
(Art. 6 Abs. 1lit. eDSGVO). 

Die Freiwilligkeit der App-Nutzung ist 
dabei unabhängig von der datenschutz- 
rechtlichen Rechtsgrundlage für das Ver- 
fahren insgesamt zu sehen. Zwar kann 
es keine Zwangs-App mit Einwilligung 
geben, jedoch ist eine freiwillige App mit 
einer gesetzlichen Grundlage denkbar, ja 
sogar wünschenswert. Sie ist deswegen 
wünschenswert, weil bei einer Einwilli- 
gungslösung die Verantwortliche für das 
Verfahren und BetreiberIn der App allein 
entscheidet, worin genau die NutzerIn- 
nen einwilligen sollen. Gerade auch in 
der vorliegenden Konstellation, in der die 
App nur genau so operiert, wie von der 
Verantwortlichen vorgegeben, und da- 
mit, obzwar sie auf dem Smartphone der 
Betroffenen läuft, ausschließlich unter 
der Kontrolle der Verantwortlichen, ver- 
gleichbar zu einem DRM-System (Becker 
et al. 2003), wird gleichzeitig das Risiko 
einer Abwägung der Grundrechtsrisiken 
gegenüber der Zweckerreichung auf die 
Betroffenen externalisiert (Rost 2018) - 
die durch die Verarbeitung verursachte 
informationelle Machtasymmetrie zwi- 
schen der Verantwortlichen und der Be- 
troffenen wird so nicht nur nicht ausge- 
glichen, sondern verstärkt. Mit dem Ro- 
bert Koch-Institut als Verantwortlichem, 
einer deutschen Bundesoberbehörde, ist 
es ohnehin höchst fragwürdig, wie frei 
Personen in ein solches BürgerIn-Staat- 
Verhältnis einwilligen können. 

Bei einer freiwilligen App auf Basis 
einer gesetzlichen Grundlage hingegen 
würde direkt die (demokratisch legiti- 
mierte) GesetzgeberIn die Verarbeitung 
festlegen und deren Grenzen definieren. 
Dafür käme beispielsweise eine Erwei- 
terung des Infektionsschutzgesetzes 
(IfSG) in Betracht. Zudem ist zu beach- 
ten, dass die DSGVO nach Art. 89 eine 
weitreichende Nutzung vorhandener Da- 
ten zu Forschungszwecken ermöglicht. 
Bei einer gesetzlichen Grundlage für die 
Datenverarbeitung können auch dafür 
die genauen Zwecke expliziert oder aber 
nach einer negativen Verhältnismäßig- 
keitsprüfung derartige Weiternutzungen 
explizit verboten werden. 
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Vor dem Hintergrund dieser Überle- 
gungen ist eine freiwillige App auf Basis 
einer gesetzlichen Grundlage sowohl 
aus Datenschutzsicht wünschenswert 
als auch rechtlich geboten. Darüber hi- 
naus müsste flankierend eine weitere 
Rechtsvorschrift die Zweckentfremdung 
der App - als Zugangserlaubnis für Ge- 
bäude oder Arbeitsstellen - untersagen. 
Dies ist einerseits nötig, um die Nutzung 
der App nicht nur de lege, sondern auch 
de facto freiwillig zu machen, sowie um 
andererseits die Zweckerreichung zu 
unterstützen. Sollte sich nämlich an- 
deuten, dass die App-gestützte Risiko- 
prognose zu schwerwiegenden Nachtei- 
len im täglichen Leben führt, so würden 
die NutzerInnen schnell Wege finden, 
die App vor Risikosituationen zu deakti- 
vieren. In der Folge würde die App ihren 
Zweck nicht mehr erfüllen können - sie 
wäre nicht mehr geeignet und demnach 
nicht mehr zulässig. 


Personenbezug und Anonymisierung 


In der Diskussion um die Eigenschaften 
einer Corona-App wird häufig von einem 
„anonymen System” gesprochen, teilwei- 
se wird deswegen sogar die Anwendung 
der DSGVO an sich in Frage gestellt. Die 
Funktionalität der App wird umgesetzt, 
indem sie in regelmäßigen Abständen 
wechselnde Zeichenfolgen via Bluetooth 
versendet und entsprechend die Zei- 
chenfolgen von anderen Apps empfängt, 
sofern diese örtlich nah genug sind. Ver- 
sendete und empfangene Zeichenfolgen 
werden getrennt gespeichert. Wenn eine 
NutzerIn nun positiv getestet wird, so 
lädt sie in der datensparsamen Variante 
der App ihre gesendeten Zeichenfolgen 
auf den Server, wonach andere Apps die- 
se von dort erhalten, um prüfen zu kön- 
nen, ob sie selbst Kontakt mit Infizierten 
hatten. Das Verfahren besteht insgesamt 
also aus der Verarbeitung von Kontaktda- 
ten auf den Smartphones, der Übermitt- 
lung dieser Daten auf einen Server nach 
der Diagnose einer Infektion und letzt- 
endlich deren Verteilung an alle ande- 
ren Smartphones zur Prüfung auf einen 
möglichen Kontakt mit Infizierten. Alle 
Daten auf einem Smartphone sind direkt 
personenbezogen, nämlich bezogen auf 
die NutzerIn des Gerätes. Dies gilt unab- 
hängig davon, ob das Gerät gut nach au- 
ßen abgesichert ist oder inwiefern ande- 


re Apps die empfangenen Zeichenfolgen 
direkt einer Person zuordnen können, 
prinzipiell möglich ist es allemal. Und 
weil nur diejenigen Personen Daten an 
den Server übertragen, die als infiziert 
diagnostiziert wurden, sind die übertra- 
genen Daten zugleich Gesundheitsdaten, 
also besondere Arten von personenbezo- 
genen Daten nach Art. 9 DSGVO. 

An dieser Stelle werfen wir ein be- 
sonderes Augenmerk auf das gebotene 
Anonymisierungverfahren beim Upload 
der Daten auf den Server. Bei einem un- 
geschützten Verfahren könnte die Be- 
treiberIn des Servers prinzipiell über die 
IP-Adresse der hochladenden App einen 
Personenbezug herstellen, die Daten also 
re-personalisieren und sogar die Infekti- 
on zuschreiben. Dieser Personenbezug 
muss also beim Hochladevorgang von 
den versendeten Zeichenfolgen zuver- 
lässig abgetrennt werden, damit diese 
vom Server verarbeitet und an andere 
Apps weiterverbreitet werden kann. An- 
schließend handelt es sich nur noch „in- 
fektionsanzeigenden Daten ohne Perso- 
nenbezug”. In diesem Trennungsprozess 
wird demnach die Identifizierbarkeits- 
relation aufgehoben, ohne dass sich der 
Informationsgehalt der Daten selbst oder 
ihre Nutzbarkeit für den angestrebten 
Zweck ändern (vgl. Art. 29 WP 2007). 

Dieses Anonymisierungverfahren 
kann konkret vielgestalt aussehen, wo- 
bei stets auf kontinuierliche Prüfbarkeit 
geachtet werden muss. Das Verfahren 
muss jedoch immer durch eine Kom- 
bination aus rechtlichen, technischen 
und organisatorischen Maßnahmen ab- 
gesichert werden (Podlech 1976) und 
kontinuierlich datenschutzrechtlich 
durch die zuständige Aufsichtsbehör- 
den prüfbar sein. Rechtlich muss die 
BetreiberIn unabhängig sein und keine 
eigenen Interessen an den Daten haben 
dürfen. Sie muss zudem vor Pflichten 
zur Herausgabe von Daten geschützt 
sein, auch gegenüber staatlichen Si- 
cherheitsorganen. Organisatorisch 
müssen die Verantwortliche strate- 
gisch und die BetreiberIn operativ eine 
Mischstruktur etablieren, die die infor- 
mationelle Gewaltenteilung - also die 
funktionale Differenzierung - innerhalb 
der Organisation durchsetzt. Technisch 
muss die BetreiberIn die Trennung so 
umsetzen, dass die Uploads nicht pro- 
tokolliert werden können, weder auf 
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dem Server noch in ihrem Netzwerk. Die 
Verbindungen müssen zudem Ende-zu- 
Ende-verschlüsselt erfolgen und ggf. 
durch die Nutzung vorgeschalteter An- 
onymisierungsproxies (z.B. Tor) gesi- 
chert werden. 


Ausblick 


Mit unserer Intervention in die De- 
batte um den Einsatz von technischen 
Lösungen wie Tracing-Apps für gesell- 
schaftliche Probleme in der Form einer 
Datenschutz-Folgenabschätzung ha- 
ben wir eine öffentliche Debatte über 
die damit einhergehenden Risiken für 
Grundrechte und -freiheiten angesto- 
ßen und zugleich die notwendigen In- 
formationen bereitgestellt, damit die- 
se Debatte informiert geführt werden 
kann. Neben den beiden Aspekten, die 
wir in diesem Beitrag näher beleuchtet 
haben - der Unterscheidung zwischen 
Freiwilligkeit und Einwilligung sowie 
dem Problem von Personenbezug und 
Anonymisierung -, bietet die DSFA 
eine umfassende Analyse nicht nur der 
möglichen individuellen, sondern auch 
der gesellschaftlichen Auswirkungen, 
der rechtlichen, organisatorischen und 
technischen Anforderungen, die daher 
an solche Systeme zu stellen sind, sowie 
der erforderlichen Schutzmaßnahmen, 
mit denen die identifizierten Risiken 
so verringert werden können, dass die 
Anforderungen der DSGVO hinreichend 
erfüllt sind und ein verantwortbarer, 
beherrschbarer Betrieb des Verfahrens 
aufgenommen werden kann. 


Mit der vorliegenden Datenschutz-Fol- 
genabschätzung haben wir einen tech- 
nischen, rechtlichen und methodischen 
Maßstab gesetzt, wie die Funktionen und 
die daraus sich ergebenden Datenschutz- 
risiken einer Tracing-App und des sie 
umgebenden Verfahrens für Betroffene 
in Zukunft zu analysieren, zu bestimmen 
und gegebenenfalls zu verringern sind. 
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Heinz Alenfelder 


Videokonferenz-Software und der Datenschutz 


Zur Zeit wird eine Unmenge von Arti- 
keln über das Homeoffice in Tages- und 
Wochenzeitungen sowie online veröf- 
fentlicht. Darin taucht - allen Beden- 
ken zum Trotz - immer wieder sowohl 
Teams von Microsoft als auch der durch 
viele Datenschutz-Lecks bekannte 
Dienst Zoom auf. Der Medienwissen- 
schaftler Baumgärtel von der Hoch- 
schule Mainz stellte jüngst in der taz! 
fest: „Es kann nicht sein, dass als ein 
Ergebnis der Coronakrise nun proprietä- 
re Programme wie Zoom oder Teams zum 
De-facto-Standard werden“. Weiterhin 
hat das Fachmagazin IT-Sicherheit? im 
April über Phishing-Methoden berich- 
tet, mit denen sich Cyberkriminelle den 
Hype um Videokonferenzen zu Nutze 
machen. Es beruft sich auf eine Analyse 
des amerikanischen Cybersecurity-Un- 
ternehmens Proofpoint, das erwartet, 
dass in Zukunft bekannte Markenna- 
men wie Zoom und Cisco (Anbieter von 
WebEx) häufiger als Absender von Mails 
auftreten werden, die Malware verbrei- 
ten. Dennoch machen viele Arbeitgeber 
Vorgaben für Video- und Telefonkon- 
ferenzen. Aus unserer Sicht lautet ver- 
ständlicherweise eine Kernfrage: Wie 
sieht die Situation aus dem Blickwinkel 
des Datenschutzes aus und was können 
Nutzerinnen und Nutzer tun? 

Dieser Artikel stellt deshalb einige 
Leitfäden und Überblicke über Video- 
konferenz-Systeme von - teilweise als 
kritisch bekannten - Institutionen vor. 
Er zeigt darüber hinaus einige Fragen 
auf, die sich all diejenigen stellen soll- 
ten, die eine Videokonferenz-Software 
nutzen (müssen). 


Informationen staatlicher Behörden 


Das Bundesamt für Sicherheit in 
der Informationstechnik (BSI) hat 
recht aktuell ein Kompendium Video- 
konferenzsysteme veröffentlicht?. Darin 
wird nach Beschreibung von Funkti- 
onsumfang, technischem Aufbau und 
Aspekten der Planung und des Betriebs 
von solchen Konferenzsystemen eine 
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Gefährdungsanalyse vorgenommen. 
Exemplarisch werden dann drei Sicher- 
heitskonzepte für verschiedene Bei- 
spielszenarien dargestellt, von denen 
vor allem das Szenario „Beispiel einer 
reinen Cloud-Lösung” eines Start-up- 
Unternehmens für die nicht-behördli- 
che Praxis von Interesse sein könnte. 

Auch der Bundesbeauftragte für den 
Datenschutz und die Informations- 
freiheit (B£fDI) hat das Thema behan- 
delt‘, kommt aber mit seinen Ausführun- 
gen deutlich knapper daher und nennt, 
wie das BSI, keine konkreten Anbieter. 
Jedoch zeigt er auf, welche Nebenbedin- 
gungen zu beachten sind und hat auch 
einige Leitfragen zur Beurteilung von 
Angeboten zusammengestellt’. 

Diverse Landesdatenschutzbeauf- 
tragte haben sich im April zu Wort ge- 
meldet und Leitfäden veröffentlicht. 
So leitet der Baden-Württembergische 
LfDI beispielsweise seine Übersicht‘ mit 
den Worten ein: „Bei der Auswahl von 
Video- oder Telefonkonferenzsystemen 
sollte aus technischer Sicht darauf ge- 
achtet werden, dass der Anbieter we- 
der Metadaten (wer hat wann mit wem 
kommuniziert) noch die Inhaltsdaten 
der Kommunikation für eigene Zwecke 
auswertet oder an Dritte weitergibt.” 
Für konkrete Systeme gibt es Empfeh- 
lungen, die aber teils bereits kritisiert 
werden. Insbesondere die Grundeinstel- 
lung bei BigBlueButton, alle Sitzungen 
mitzuschneiden, stößt Informatikern 
böse auf’. Einzelfälle stellt der Ratge- 
ber des LfDI selber kritisch klar, so etwa 
dass „die i0S-App Jitsi-Meet neben der 
Übertragung von Videosignalen auch 
Daten an den Hersteller und dessen Auf- 
tragsverarbeiter” überträgt. Schließlich 
verlinkt er auf Material aus Berlin. Die 
Berliner BfDI weist in einer Checkliste? 
explizit darauf hin, „dass einige verbrei- 
tet eingesetzte Anbieter die aufgeführ- 
ten Bedingungen zu Redaktionsschluss 
(2. April 2020) nicht erfüllen, darun- 
ter Microsoft, Skype Communications 
und Zoom Video Communications”. Das 
Schleswig-Holsteinische ULD schließ- 


lich unterscheidet in seinem Ratgeber’ 
zwischen Hinweisen für Personen, die 
eine Videokonferenz organisieren und 
solchen, die daran teilnehmen. Für Ers- 
tere sind die Rahmenbedingungen zu 
klären; Letztere können vor allem durch 
Gestaltung ihres Umfelds und durch ihr 
Verhalten zur Datenschutzkonformität 
der Veranstaltung beitragen. 

Eine komplette Auflistung oder gar 
die Analyse des einschlägigen Materi- 
als aller staatlichen Aufsichtsbehörden 
muss an dieser Stelle unterbleiben - 
nicht zuletzt, weil ständig neue Veröf- 
fentlichungen bzw. Aktualisierungen 
erfolgen. 


Überblicke über Videokonferenz- 
Systeme 


Vom Verein Digitalcourage, der die 
jetzt auf Herbst verschobenen Big- 
Brother-Awards federführend verleiht, 
werden drei Angebote hervorgehoben!': 
Jitsi Meet (das am besten in Googles 
Browser Chrome läuft), BigBlueButton 
(bei dem die Sicherheit vom Serverbe- 
treiber abhängt, daaufdem Server nicht 
verschlüsselt wird) und Nextcloud Talk 
(das auf 4 Teilnehmende beschränkt 
ist und eine gemietete oder eingerich- 
tete Nextcloud voraussetzt). Für reine 
Telefonkonferenzen wird Mumble emp- 
fohlen. Digitalcourage empfiehlt ex- 
plizit nicht die Produkte Zoom, Skype 
(Microsoft), Discord und USA-basierte 
Dienste wie WebEx, GoToMeeting und 
LifeSize. 

Der Informationsdienst iRights.info 
erwähnt in einem Artikel über Home- 
schooling'! positiv die Angebote von Go- 
talk, Room sh und BlueJeans, verweist 
ansonsten aber auf Digitalcourage. 

Auf der Webseite des BfDI in Bonn 
steht eine Auswahlhilfe des Niederlän- 
dischen Datenschutzbeauftragten in 
deutscher Übersetzung zur Verfügung”. 

Auch bei der Gesellschaft für Daten- 
schutz und Datensicherheit (GDD) fin- 
det sich eine Übersicht über die Großen 
der Branche. Die GDD hat die wesent- 
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lichen Eigenschaften von Konferenz- 
anbietern im Anhang zur „Praxishilfe 
DSGVO XVI - Videokonferenzen und Da- 
tenschutz” zusammengefasst". 

Heise.de schließlich bietet eine Lis- 
te von (kostenlosen) Videokonferenz- 
Tools an’*, weist dabei aber darauf hin, 
dass „lediglich TeamViewer Blizz eine 
Ende-zu-Ende-Verschlüsselung” nutzt, 
ohne das Heise das hätte überprüfen 
können. Die Empfehlung lautet hier, 
Jitsi auf einem eigenen Server zu ins- 
tallieren. In einer Meldung Ende April’ 
verweist Heise.de auf einen Vergleich 
von 15 verschiedenen Videokonferenz- 
Lösung, den die Mozilla Foundation 
durchgeführt hat und in dem Verschlüs- 
selung, Sicherheits-Updates, Passwort- 
Sicherheit, Schwachstellen-Umgang 
und Datenschutzrichtlinien verglichen 
wurden. 


Fragen zur Nutzung von Videokonfe- 
renz-Systemen 


Generell muss der Datenschutz bei 
Nutzung von Videokonferenz-Systemen 
aus verschiedenen Blickwinkeln be- 
trachtet werden. Dabei geht es zunächst 
um die schlichte optische und akusti- 
sche Verbindung zwischen den Teilneh- 
menden an der Konferenz. Weitergehen- 
de Problematiken wie Mitschnitte und 
deren Verwendung bis hin zur Veröf- 
fentlichung erfordern eine gesonderte 
Betrachtung, die hier nicht geleistet 
werden kann. 

Einerseits können - vor allem im Rah- 
men von Homeoffice oder Homeschoo- 
ling - in Videokonferenzen personen- 
bezogene Daten im Gespräch oder per 
Übertragung des Bildschirm-Inhalts 
ausgetauscht werden. Wenn dies un- 
umgänglich ist, ist dasselbe Verfahren 
anzuwenden wie bei der Datenverar- 
beitung im Betrieb oder in der Schu- 
le selbst. Die DSGVO gibt den Rahmen 
vor, betriebliche und staatliche Daten- 
schutzbeauftragte geben Hilfestellung, 
zumeist - wie oben aufgeführt - in Form 
von Leitfäden oder bei konkreten Anfra- 
gen. Aus Hamburg wurde zwar über ein 
Verbot von Videokonferenzen durch die 
Aufsichtsbehörde berichtet, doch der 
Hamburgische Datenschutzbeauftragte 
stellte klar'® „in enger Absprache mit 
der Behörde für Schule und Berufsbil- 
dung auf Überzeugungsarbeit bei den 
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verantwortlichen Stellen, nicht aber auf 
Untersagungen und Verbote zu setzen“. 

Andererseits fallen eine Menge perso- 
nenbezogener Daten über die einzelnen 
Beteiligten einer Videokonferenz beim 
Anbieter an, wie etwa Einwahl- und 
Teilnahme-Zeiten, IP-Adressen, Geräte- 
daten und die Gesprächsbeiträge samt 
Bilddaten aus dem heimischen Umfeld 
und vom Computer-Desktop. Deshalb 
sind bei der Auswahl eines Systems viel- 
fältige Prüfungen zunächst der Rechts- 
grundlagen und dann in Bezug aufmög- 
liche Voreinstellungen, Profiling (Profil- 
bildung der Nutzenden), Ende-zu-Ende- 
Verschlüsselung und Löschmöglichkei- 
ten unabdingbar. 

Im Zusammenhang mit einer Video- 
konferenz können die Beteiligten sich 
die folgenden Fragen stellen und beant- 
worten. 


Vor der Videokonferenz: 

« Ist eine Videokonferenz das geeig- 
nete Mittel oder reicht auch eine Te- 
lefonkonferenz, ein Chat oder ein E- 
Mail-Wechsel? 

° Von wo aus soll an der Videokonferenz 
teilgenommen werden? Ist die Daten- 
übertragung im lokalen Netz/WLAN 
abgesichert? 

« Speziell: Ist eine mobile Teilnahme, 
eventuell sogar im öffentlichen Raum, 
unbedingt notwendig? Wenn ja, über- 
mittelt die App auch Daten an ihren 
Hersteller und könnte alternativ der 
Webbrowser genutzt werden? 


Zur Vorbereitung der Videokonferenz: 

« Sind alle Störelemente ausgeschaltet 
(bezogen auf Kamera-Aufnahmebe- 
reich, Mikrofon-Einstellungen, Daten- 
übertragung von Bildschirminhalten, 
ausgeschaltete Sprachsteuerung des 
PCs und vorhandener Mobilgeräte)? 
Sind alle möglichen Einstellungen 
datenschutzfreundlich vorgenommen 
(Beispiele: Blurr-Effekt bei der Bild- 
übertragung, Stummschaltung des 
Mikrofons in Redepausen, Ausschal- 
ten einer eventuellen Sprachanalyse 
für Untertitel und Transkribierung 
der Beiträge, Deaktivierung der Über- 
mittlung von Absturzdaten)? 

Wurden Regeln für die Videokonfe- 
renz festgelegt und sind diese noch 
aktuell? Sollten Hinweise auf diese 
Regeln vor der Konferenz in Erinne- 


rung gerufen werden (z. B. Verbot 
des Mitschnitts und einer Veröffentli- 
chung)? 


Während der Videokonferenz: 

° Sind die Teilnehmenden alle bekannt, 
haben sie sich authentifiziert? 

« Wird die Konferenz aufgezeichnet? Ist 
der Grund bekannt und triftig? Wurde 
dazu eine Einwilligung eingeholt? 

« Signalisiert die Software die Kamera- 
und Mikrofon-Nutzung konkret? Gibt 
es eine Aufmerksamkeitsanzeige, die 
die aktive Teilnahme an der Konferenz 
überwacht? Ist diese unumgänglich? 

e Muss im Einzelfall der Bildschirmin- 
halt unbedingt geteilt werden oder 
reicht auch eine mündliche Erklärung 
des zu zeigenden Dokuments? 


Nach der Videokonferenz: 

« Ist die Konferenz auch wirklich been- 
det, d. h. wurde der Prozess seitens 
des Betriebssystems aus dem Spei- 
cher entfernt? 

e Kann die Kamera- und Mikrofon- 
Nutzungserlaubnis für das Konferenz- 
System zurückgenommen werden? 

« Ist eine Aufzeichnung der Konferenz 
verfügbar, wo liegt diese und wann 
wird diese gelöscht? 

« Sind Metadaten vorhanden und kön- 
nen sie gelöscht werden? 


Diese Liste von Fragen erhebt keiner- 
lei Anspruch auf Vollständigkeit, son- 
dern sie versucht, über die Krisenzeit 
hinaus für einen bewussteren Umgang 
mit Videokonferenz-Systemen und de- 
ren Nutzung zu sensibilisieren. 

Alle Webseiten wurden am 2. Mai 2020 
zuletzt besucht. 


1 „Digital unabhängig werden” Debatten- 
beitrag in der taz, 23.04.2020, S. 12 


2 https://www.itsicherheit-online.com/ 
blog/detail/sCategory/222/blogArticle/ 
4284 


3 https://www.bsi.bund.de/SharedDocs/ 
Downloads/DE/BSI/Cyber-Sicherheit/ 
Themen/Kompendium-Videokonferenz- 
systeme.html;jsessionid=30D457459CF2 
BOA34528AF8E11AE2FF6.2_cid341 


4 https://www.bfdi.bund.de/DE/ 
Datenschutz/Datenschutz-Corona/ 
Kommunikation/Inhalt/Messenger_ 
Videokonferenzdienste.html?cms_ 
templateQueryString=videokonferenz& 
cms_sortOrder=scoretdesc 
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5 https://www.bfdi.bund.de/DE/ 
Datenschutz/Datenschutz-Corona/ 
Kommunikation/Inhalt/Beurteilung_ 
Angebote_Messenger.html?nn=13881424 


6 https://www.baden-wuerttemberg. 
datenschutz.de/datenschutzfreundliche- 
technische-moeglichkeiten-der- 
kommunikation/ 


7 https://twitter.com/beatdoebeli/ 
status/1254686918857678848 


8 https://www.datenschutz-berlin. 
de/fileadmin/user_upload/pdf/ 
orientierungshilfen/2020-BlnBDI- 
Checkliste_Videokonferenzen.pdf 


9 https://www.datenschutzzentrum.de/ 
uploads/it/ULD-Ploetzlich- 
Videokonferenzen.pdf 


10 https://digitalcourage.de/blog/2020/ 
corona-homeoffice-tipps 


11 https://irights.info/artikel/unterricht- 
zu-hause-und-was-macht-der- 
datenschutz/30017 


12 https://www.bfdi.bund.de/SharedDocs/ 
Downloads/DE/Datenschutz/ 
Auswahlhilfe-Messenger-Systeme.pdf?__ 
blob=publicationFile&v=1 


13 https://www.gdd.de/downloads/ 
praxishilfen/ph_videokonferenzsysteme_ 
aktuelle-tabelle/view 


Corona-Nachrichten 


14 https://www.heise.de/ct/artikel/ 
Kostenlose-Videokonferenz-Programme- 
im-Funktionsueberblick-4704912.html 


15 https://www.heise.de/newsticker/ 
meldung/Mozilla-veroeffentlicht- 
Report-zu-Videokonferenzdiensten- 
4710756.html 


16 https://datenschutz-hamburg.de/ 
pressemitteilungen/2020/03/2020- 
03-26-falschmeldung-skype 


Bund 


RKI präsentiert 
„Datenspende-App” 


Das Robert-Koch-Institut (RKI) prä- 
sentierte am 07.04.2020 eine App mit 
dem Namen „Corona-Datenspende“, um 
im Kampf gegen das Coronavirus (SARS- 
CoV-2 bzw. Covid-19) Daten von Fitness- 
bändern und Smartwatches zu sam- 
meln, über die ergänzende Informatio- 
nen erlangt werden sollen, wo und wie 
schnell sich das Coronavirus ausbreitet. 
Die App ist für i0S und Android-Geräte 
verfügbar; die Nutzung ist freiwillig. Das 
RKIsammelt die Daten auf pseudonymer 
Basis und sagt zu, keine Stammdaten 
der Nutzenden wie Namen und Anschrift 
zu sammeln. Es behauptet, es könne 
einzelne Nutzende nicht identifizieren. 


- Die App 


Die Corona-Datenspende-App dient 
nicht der Nachverfolgung von Kontakt- 
personen, sondern soll - ergänzend 
zu weiteren Datenquellen, z.B. den 
offiziellen Meldedaten - dabei helfen, 
Infektionsschwerpunkte besser zu er- 
kennen und dazu beitragen, ein ge- 
naueres Bild über die Wirksamkeit der 
Maßnahmen zur Bekämpfung von Co- 
vid-19 zu gewinnen. Die Idee der App 
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beruht darauf, dass viele Menschen in 
Deutschland regelmäßig mit Smart- 
watches oder Fitnessarmbändern ihre 
Vitaldaten aufzeichnen. Demgemäß 
werden Aktivitäts- und Schlafdaten, 
Pulsschlag und Körpertemperatur er- 
fasst und ausgewertet, sofern dies 
vom jeweiligen Modell des Geräts un- 
terstützt wird. Bei einer akuten Atem- 
wegserkrankung ändern sich diese 
Vitalzeichen in den meisten Fällen 
deutlich. Daher könnten auch typische 
COVID-19-Symptome wie Fieber durch 
die App erkannt werden. 

Mit Hilfe der Corona-Datenspende- 
App stellt der Nutzer des Mobilgeräts 
diese Daten dem RKI zur Verfügung. 
Zur Lokalisierung des Nutzers soll die- 
ser zusätzlich seine Postleitzahl ein- 
geben. Die Corona-Datenspende-App 
fragt zudem einmalig Körperdaten ab zu 
Geschlecht, Alter, Größe und Gewicht. 
Die Daten werden in groben Schritten 
(+/-5 kg bzw. 5 cm) erfasst. Die Daten 
werden wissenschaftlich aufbereitet 
und fließen im Anschluss in eine Karte 
ein. Diese zeigt die regionale Verbrei- 
tung potenziell Infizierter bis auf Ebene 
der Postleitzahl. Die Karte wird regelmä- 
Rig aktualisiert und unter www.corona- 
datenspende.de veröffentlicht. 

Prof. Lothar H. Wieler, der Präsident des 
RKI, warb für die App: „Wenn in einer aus- 
reichend großen Stichprobe die Anzahl 
der symptomatischen Patienten erfasst 


werden kann, könnte uns das dabei hel- 
fen, früher Rückschlüsse auf Infektions- 
geschehen, Verbreitung und auch auf die 
Wirksamkeit der bisherigen Maßnahmen 
zu ziehen. Die App erkennt Symptome, 
kann aber keine Erkrankung nachweisen. 
Sie ersetzt keine offiziellen Meldezahlen 
und keinen Labortest auf das Coronavi- 
rus, ist aber eine wichtige Ergänzung.” In 
den USA hätten sich ähnliche Fallschät- 
zungen auf Basis von Smartwatch- und 
Fitnessarmband-Daten in Grippewellen 
als sehr treffgenau erwiesen. 

Das RKI teilte mit, es habe die App ge- 
meinsam mit dem e-Health-Unterneh- 
men Thryve und unter Einbeziehung des 
Bundesdatenschutzbeauftragten (BfDI) 
entwickelt. Dem RKI geht es dabei nicht 
darum, COVID-19 im Einzelfall zuverläs- 
sig zu diagnostizieren und die Tests auf 
das Virus zu ersetzen. Ebenso wenig er- 
setzt sie den Öffentlichen Meldeweg zur 
Erfassung der Infektionszahlen. Mit den 
Daten sollen vielmehr die Maßnahmen 
zur Eindämmung von COVID-19 sinnvoll 
ergänzt werden, so Wieler: „Wir wün- 
schen uns, dass sich viele Menschen be- 
teiligen. Denn je mehr Menschen ihre Da- 
ten für eine Auswertung zur Verfügung 
stellen, desto genauer werden unsere 
Erkenntnisse zur Verbreitung des Coro- 
navirus.” 

Auf die Kritik von Datenschutzsei- 
te hin bestätigte das RKI, dass jedem 
Nutzer eine individuelle Nutzer-ID zu- 
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geordnet wird: „Nur so können Daten 
auch über längere Zeiträume richtig zu- 
geordnet und interpretiert werden.” Die 
mit Dienstleistern getroffenen Verein- 
barungen über die Datenverarbeitung 
würden „den Anforderungen des Art. 28 
DSGVO genügen”. 

Das RKI wirbt unter dem Slogan „Hän- 
de waschen, Abstand halten, Daten 
spenden.” Innerhalb der ersten 24 Stun- 
den wurden auf der Webseite 50.000 
Downloads verzeichnet. Nach einer Wo- 
che hatten mehr als 300.000 Menschen 
die App heruntergeladen und instal- 
liert. 

Die Datenspende-App des RKI erhielt 
im Nachhinein einen wissenschaftli- 
chen Segen durch die „Dritte Ad-hoc- 
Stellungnahme Coronavirus-Pandemie 
- Die Krise nachhaltig überwinden“ der 
Nationalen Akademie der Wissenschaf- 
ten Leopoldina vom 13.04.2020: 

Traditionelle epidemiologische Mel- 
de- und Monitoringsysteme, die system- 
bedingt nur mit erheblicher Zeitverzö- 
gerung und lückenhaft Daten liefern, 
sollten durch innovative Methoden aus 
der digitalen Epidemiologie ergänzt 
werden. Ansätze zur „digitalen Daten- 
spende“ bieten eine innovative Techno- 
logie. Zum Beispiel können bundesweite 
Umfragen per Smartphone-App Daten 
des aktuellen Gesundheitszustands der 
Bevölkerung liefern. Zudem könnten 
Apps zur freiwilligen Mitteilung von Sym- 
ptomen und Informationen zum eige- 
nen Krankheitsverlauf nützliche Daten 
liefern. Fitness-Tracker und sog. Weara- 
bles zeichnen Daten zum Ruhepuls und 
zu Schlafrhythmen auf, deren Analyse 
das Auftreten von Fieber und grippe- 
ähnlichen Symptomen anzeigen kann. 
Dringend erforderlich ist hier die weitere 
Erforschung und Überprüfung der Zuver- 
lässigkeit und Validität dieser Daten. Die 
digitalen Datenspenden müssen in par- 
tizipatorische Projekte eingebettet sein, 
in denen Bürgerinnen und Bürger zum 
Allgemeinwohl und gemeinschaftlich 
zur Eindämmung der Pandemie beitra- 
gen können. Dabei sollten sie anonymi- 
siert, sicher und geschützt ihre Daten als 
Fundament für bessere Prognosen zur 
Verfügung stellen können. Ein verant- 
wortungsvoller Umgang - unter Gewähr- 
leistung eines verlässlichen Schutzes der 
Privatheit - mit diesen Daten und deren 
Qualitätssicherung kann durch Daten- 
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treuhänder sichergestellt werden. Da- 
tenspenden sollten durch breite Medien- 
kampagnen begleitet werden, die ihren 
gemeinnützigen Charakter vermitteln. 
Schon existierende oder in der Entwick- 
lung befindliche Projekte dieser Art in 
der eHealth-Startup-Szene sollten iden- 
tifiziert und koordiniert werden. 

In den nächsten Wochen und Monaten 
sollte die Zahl der Neuinfektionen soweit 
wie möglich kontrolliert auf einem nied- 
rigen Niveau gehalten werden. Dabei 
sind Kurzzeitprognose-Modelle immer 
mit aktualisierten, hochaufgelösten 
Daten anzupassen. Ziel ist es, die wahr- 
scheinliche Entwicklung der Pandemie 
über 1 bis 2 Wochen (inkl. anzugebender 
Ungenauigkeitsintervalle) vorherzusa- 
gen und die erwartete Effektivität von 
Maßnahmen vor deren Anwendung zu 
vergleichen. Auch der Effekt einer Locke- 
rung von Maßnahmen kann in verschie- 
denen Szenarien untersucht werden. Die 
Modellvorhersagen bieten insbesondere 
auch ein Instrumentarium, um objekti- 
vierbare Kriterien für einen schrittwei- 
sen Übergang in den Normalzustand auf 
der Grundlage des verfügbaren Wissens 
zu entwickeln. Ziel ist es, die zu erwar- 
tenden wiederkehrenden regionalen 
Cluster, in denen Infektionen zeitlich 
undräumlich gehäuft auftreten, frühest- 
möglich zu erkennen und durch passge- 
naue regionale Maßnahmen aufzulösen. 
In Regionen mit niedrigen Infektionsra- 
ten und geringem Verbreitungspotential 
könnten einschränkende Maßnahmen, 
ggf. auch spezifisch für einzelne Perso- 
nengruppen, gelockert werden. Nicht 
zuletzt sollte die erwartete Wirkung ei- 
nes gezielten Einsatzes der ermittelten 
immunen Personen in kritischen Berei- 
chen (Pflege, Altenheime, Krankenhäu- 
ser) durch die Modellvorhersagen erfasst 
werden. Ebenso müssen indirekte Effek- 
te auf gefährdete Bevölkerungsgruppen 
Berücksichtigung finden. 


- Umstrittene Finanziers 


Die allgemeinen Geschäftsbedin- 
gungen der App offenbaren, dass das 
deutsche Unternehmen, das die App 
umsetzt, ein hochbewertetes Berli- 
ner StartUp ist. Ein Firmenportrait der 
mHealth Pioneers GmbH legt die Hin- 
tergründe des 2017 gegründeten Unter- 
nehmens offen. Danach gehört zu den 


bekanntesten deutschen Investoren 
Carsten Maschmeyer, der zuletzt in der 
TV-Produktion Höhle des Löwen quasi 
am Fließband nach neuen Unterneh- 
mensideen und Geschäftskonzepten 
suchte. Maschmeyer ist umstritten; die 
Berichterstattung rund um den von ihm 
mitgegründeten Finanzdienstleister 
AWD, dessen Verkaufsmethoden über 
Jahre in der Kritik standen, zog recht- 
liche Auseinandersetzungen nach sich. 
Zu den weiteren Investoren zählt Min- 
Sung Sean Kim, der für Samsung in die 
Bereiche künstliche Intelligenz und Ge- 
sundheitsdaten investiert. 


- Kritik von Datenschützern 


Der Bundesbeauftragte für den Da- 
tenschutz und die Informationsfreiheit 
(BfDI), Ulrich Kelber, relativierte seine 
Unterstützung: „Ich erwarte zusätz- 
lich, dass regelmäßig evaluiert wird, ob 
die App ihren Zweck erfüllt. Tut sie das 
nicht, muss die Verarbeitung beendet 
werden.” Der Name der App sei irrefüh- 
rend, da man bei Teilnahme an der Er- 
hebung das Recht an den Daten nicht 
abgebe. Nutzer könnten „ihre Einwilli- 
gung jederzeit widerrufen”. Außerdem 
müsse das Institut noch konkretisieren, 
wie lange Informationen gespeichert 
würden. Das RKI habe zugesagt, dass in 
diesem Fall alle gesammelten Daten ge- 
löscht werden. Das Datenschutzniveau 
sei bei Fitness-Trackern und Smart- 
watches je nach Hersteller sehr unter- 
schiedlich. Diese Schnittstelle sei aus 
seiner Sicht „wahrscheinlich das größte 
Problem”. 

Die Gesellschaft für Informatik (GI) 
hält die App „Corona-Datenspende“” für 
unausgegoren, wenn nicht kontrapro- 
duktiv. Die Anwendung erfülle „im Hin- 
blick auf Datenschutz und IT-Sicherheit 
nicht die grundlegenden Anforderun- 
gen”. Das RKI habe damit eine Chance 
vertan, das Vertrauen in digitale An- 
wendungen zur Eindämmung des Co- 
ronavirus zu stärken. Die GI ist zwar 
überzeugt, dass digitale Instrumente 
potenziell hilfreich sind, um Neuinfek- 
tionen zu verringern und nachzuverfol- 
gen. Sie mahnt aber: „Dabei sollten sie 
jedoch dem Stand der Forschung und 
den höchsten Anforderungen in Sa- 
chen Transparenz, Zweckgebundenheit, 
Wahrung der Privatsphäre, Anonymisie- 
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rung, Prüfbarkeit, Verschlüsselung und 
Datensparsamkeit entsprechen.” Die GI 
kritisiert, „dass der Code der Anwen- 
dung proprietär ist, und damit nicht öf- 
fentlich dokumentiert und überprüfbar, 
wie eigentlich für solche Apps zwingend 
notwendig“. Auch weitere wichtige 
Prinzipien wie Zweckgebundenheit, An- 
onymität, Datensparsamkeit und Schutz 
vor unbefugten Zugriff seien „entweder 
nicht erfüllt oder zumindest unklar”. 

GI-Präsident Hannes Federrath ver- 
weist auf das Anfang April vorgestellte 
PEPP-PT-Rahmenwerk zur Kontaktver- 
folgung: „Es gibt sehr gute Ansätze, mit 
digitalen Werkzeugen der Verbreitung 
des Virus entgegenzuwirken.” Leider sei 
die vorliegende Datenspende-Anwen- 
dung dagegen „überraschend schlecht 
gemacht und daher dem Schutz der Be- 
völkerung eher abträglich”. Der Infor- 
matikprofessor hofft, dass das RKI „als 
wichtige Vertrauensinstanz in der aktu- 
ellen Krise“ bei künftigen digitalen Ins- 
trumenten wie der geplanten Tracking- 
App mehr Sorgfalt walten lasse. 

Der EU-Abgeordnete Patrick Breyer 
stellte dem RKI am 08.04.2020 in ei- 
nem offenen Brief elf Fragen zu der App. 
Das Mitglied der Piratenpartei wundert 
sich etwa, warum die Anwendung nicht 
als Open-Source-Lösung verfügbar ge- 
macht werde, warum die Datenschutz- 
Folgeabschätzung nicht öffentlich sei 
und wieso keine schnellstmögliche An- 
onymisierung der überlassenen Infor- 
mationen erfolge. Der Parlamentarier 
beklagte: „Dass eine Regierungsbehör- 
de medizinische Daten zehn Jahre lang 
personenbeziehbar speichern will, stellt 
eine völlig neue Gefährdung der Privat- 
sphäre dar.” 

Am 20.04.2020 veröffentlichte 
der Chaos Computer Club (CCC) eine 
Schwachstellenanalyse der App in Form 
eines Blackbox-Tests. Der Quellcode der 
App wurde nicht offen gelegt. Gemäß 
dem CCC werden die Gesundheitsda- 
ten bei Nutzern von Google Fit, Fitbit, 
Withings sowie Polar - nicht von Apple 
Health - direkt vom Server des jeweili- 
gen Fitnessarmband-Herstellers an das 
RKI übertragen, statt zunächst an das 
Smartphone des Nutzers und sodann 
von dort an das RKI gesendet zu werden. 
Bei einer Übertragung via Smartphone 
könnte durch die App auf dem Smart- 
phone sichergestellt werden, dass wirk- 
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lich nur diejenigen Daten an das RKI 
übertragen werden, die auch gespendet 
werden sollen, und dass sie zudem vor 
der Übertragung pseudonymisiert wür- 
den. So hingegen erhält das RKI Zugriff 
auf den Account des jeweiligen Nutzers 
auf dem Server des Fitnessarmband- 
Herstellers und kann von dort theore- 
tisch sämtliche Nutzerdaten abrufen, 
also beispielsweise auch Gesundheits- 
daten aus dem Zeitraum vor der Corona- 
Krise oder den vollständigen Namen des 
Nutzers. In der Datenschutzerklärung 
heißt es dagegen fälschlich: „Erfasste 
Daten werden von meinem Smartpho- 
ne verschlüsselt zu den von uns aus- 
schließlich in Deutschland betriebenen 
Servern übertragen, dort verarbeitet 
und gespeichert. Die App hat zu keinem 
Zeitpunkt Zugriff auf unmittelbar iden- 
tifizierende Informationen wie Namen 
oder Adresse.” Das RKIpseudonymisiert 
die Daten erst, nachdem sie auf seinem 
Server angekommen sind. Damit besteht 
auch die Gefahr, dass etwaige Angreifer, 
denen es gelingt, die Server des RKI zu 
kompromittieren, auf die Accounts der 
Datenspender bei den Herstellern ihrer 
jeweiligen Fitnessarmbänder zugreifen 
können. 


- Kommentar aus der DANA-Redaktion 


Es ist richtig, dass die Epidemiolo- 
gen und die Politik möglichst zeitnah 
möglichst valide Daten über die Ge- 
sundheitssituation der Bevölkerung 
benötigen, um kurzfristig adäquate 
Maßnahmen, also notwendige, wirksa- 
me und verhältnismäßige Maßnahmen 
ergreifen zu können. Doch ist die Idee 
des RKI, das über sog. Datenspenden 
von Fitnesstrackern und Smartwatches 
zu verwirklichen, die mit Medienkampa- 
gnen beworben werden, keine gute Idee: 
Dies läuft auf eine Werbemaßnahme für 
derzeit existierende Gesundheitstra- 
cker hinaus, bei denen der Datenschutz 
zumeist nicht im Ansatz gewährleistet 
ist; die Validität der erhobenen Daten 
ist teilweise sehr schlecht. Apple und 
Google als Plattform- und Betriebssys- 
temanbieter von i0S und Android erhal- 
ten dabei regelmäßig Gesundheitsda- 
ten frei Haus geliefert, darüber hinaus 
viele weitere in die Apps eingebundene 
„befreundete Unternehmen”. Anonym 
sind diese Daten für diese Unternehmen 


nicht, aber nicht einmal für das RKI, von 
der Leopoldina als „Datentreuhänder” 
bezeichnet. Diese Daten sind allenfalls 
pseudonym, d.h. jederzeit einer Person 
wieder zuordnenbar. Beim RKI unterlie- 
gen diese Daten keiner strengen Zweck- 
bindung; das RKI unterliegt als For- 
schungseinrichtung insofern nicht der 
beruflichen Schweigepflicht, wie man 
sie bei behandelnden oder beratenden 
Ärzten oder auch Rechtsanwälten oder 
Pfarrern kennt. Die Polizei könnte sich 
mit einem entsprechenden Beschluss 
also Zugriff auf die gesammelten Daten 
verschaffen und sie beispielsweise zur 
Kriminalitätsbekämpfung verwenden. 
Ein Forschungsgeheimnis, von For- 
schern und Datenschützern seit Jahren 
gefordert, hat die Politik bisher nicht für 
nötig gehalten, wäre aber heute drin- 
gender denn je, um Menschen Vertrauen 
und rechtliche Sicherheit zu geben. 

Quellen: Robert Koch-Institut, PM 
v. 07.04.2020, Mit Daten von Fitness- 
armbändern und Smartwatches mehr 
über die Verbreitung des Coronavirus 
erfahren; Lücking, Dein Herz schlägt für 
Maschmeyer, www.neues-deutschland. 
de 07.04.2020; Krempl, Corona: Infor- 
matiker kritisieren „Datenspende-App” 
als „schlecht gemacht”, www.heise.de 
10.04.2020, Kurzlink: https://heise. 
de/-4701353; Leistner, Risiken und Ne- 
benwirkungen: Wie sicher ist die Coro- 
na-Datenspende-App für Nutzer? www. 
euronews.com 08.04.2020; Leopoldina, 
Corona-Pandemie - Die Krise nachhal- 
tig überwinden, 13.04.2020, S. 6; van 
Lijnden, Corona-App verstößt angeblich 
gegen eigene Datenschutzerklärung, 
www.faz.net 20.04.2020; Kuketz, CCC 
deckt auf: Datenspende-App des RKI mit 
schweren Mängeln www.kuketz-blog.de 
20.04.2020). 


Bundesweit 


Drohnentests zur Corona- 
überwachung 


Während Drohnen, die Corona-Aus- 
gangsbeschränkungen kontrollieren 
und zum Zuhausebleiben aufrufen, im 
Ausland mancherorts schon gängige 
Praxis sind, ist der Einsatz von Drohnen 
zur Kontrolle im Kampf gegen das Co- 
ronavirus in Deutschland bislang noch 
eher die Ausnahme. 


DANA ® Datenschutz Nachrichten 2/2020 


Eine Sprecherin des Landesamts für 
Zentrale Polizeiliche Dienste Nordrhein- 
Westfalen bestätigte, dass zehn Polizei- 
behörden in Düsseldorf und Dortmund 
den Einsatz von jeweils zwei Drohnen 
testen, zuletzt auch im Zuge der Coro- 
nakrise. Die kleinen Flugobjekte wür- 
den unter anderem eingesetzt, um Orte 
abzusuchen und Menschen an belieb- 
ten Sammelpunkten per Lautsprecher 
vor den gesundheitlichen Risiken all- 
zu großer Nähe zu warnen. Letzteres 
sei vergleichbar mit Durchsagen eines 
Streifenwagens. Ein Sprecher der Düs- 
seldorfer Polizei betonte, dass die Ka- 
mera der Drohne nicht zur Identifizie- 
rung Einzelner diene: „Es werden auch 
keine Bilder gespeichert.” Es gehe nur 
um Übersichtsaufnahmen, vor allem bei 
schwer zu überblickenden Gebieten. Die 
Reaktionen der Menschen seien „durch- 
aus positiv”. Viele zeigten sich auch an 
der Technik interessiert. 

Die hessische Polizei verfügt über 
zehn Drohnen unterschiedlicher Grö- 
ßen. Gemäß dem Innenministerium 
waren diese am 02.04.2020 in Frankfurt 
zur Überwachung der Corona-Kontakt- 
regeln im Einsatz, als es darum ging, ob 
in Parks womöglich illegale Abiturfeiern 
stattfinden. In Mecklenburg-Vorpom- 
mern nutzte die Feuerwehr im April eine 
Drohne, um einzelne Strände auf der 
Insel Rügen zu kontrollieren. Das Gerät 
kann mit seiner Wärmebildkamera auch 
Grillpartys erkennen. 

Die beiden großen Polizeigewerk- 
schaften halten Drohnen für ein mög- 
liches Instrument, um Ausgangsbe- 
schränkungen zu überwachen. Für die 
Deutsche Polizeigewerkschaft (DPolG) 
erklärte deren Vorsitzender Rainer 
Wendt, man würde den Einsatz der Flug- 
objekte „sehr begrüßen: Zur unterstüt- 
zenden Nutzung durch die Einsatzkräfte 
wäre der Einsatz von Drohnen hilfreich 
und wünschenswert. Deshalb sind die 
Ministerien gut beraten, diese Kapazi- 
täten bereitzustellen und auszubauen.” 
Auch aus Sicht der Gewerkschaft der 
Polizei (GdP) können Drohnen in be- 
stimmten Situationen sinnvoll sein, so 
der stellvertretende Bundesvorsitzende 
Jörg Radek: „Wir müssen aber sensibel 
sein. Drohnen sind ein neues Einsatz- 
mittel und könnten bei vielen Bürgern 
den Eindruck erwecken, wir seien auf 
dem Weg in den Überwachungsstaat.” 


DANA ® Datenschutz Nachrichten 2/2020 


Der Bundesbeauftragte für Daten- 
schutz und Informationsfreiheit, Ulrich 
Kelber, erklärte: „Grundsätzlich gelten 
für den Einsatz von Drohnen die glei- 
chen datenschutzrechtlichen Regeln 
wie für die Videoüberwachung.” Die Po- 
lizei dürfe Drohnen nur zweckgebunden 
einsetzen, um konkrete Aufgaben zu er- 
füllen: „Das schließt einen anlasslosen 
und flächendeckenden Einsatz aus.” 

In vielen Bundesländern setzt die Po- 
lizei bisher auf herkömmlichere Metho- 
den, um Corona-Regelverstöße zu ahn- 
den und aufzuklären. Eine Sprecherin 
der niedersächsischen Polizei erklärte, 
man weise über Durchsagen mit Laut- 
sprecherwagen auf rechtliche Vorgaben 
hin. Für die Zukunft schließt sie einen 
Corona-bedingten Einsatz von Drohnen 
aber nicht aus: „Die aktuelle Beschrän- 
kung sozialer Kontakte zur Eindämmung 
der Verbreitung der Corona-Pandemie 
könnte perspektivisch eine solche Lage 
darstellen.“ Bayern verzichtet abseh- 
bar auf Corona-Kontroll-Drohnen. Auch 
in Baden-Württemberg, Hamburg und 
Brandenburg erklärten die Behörden, 
die kleinen Flugkörper nicht zur Über- 
wachung zu nutzen. In Sachsen-Anhalt 
wurde die Einhaltung der Corona-Be- 
schränkungen an den Ostertagen aus 
der Luft per Hubschrauber überwacht, 
so ein Ministeriumssprecher: „Damit 
können wir vor allem in den späten 
Abendstunden überwachen, ob partiell 
Osterfeuer abgebrannt werden, da die- 
se aus der Luft besser erkennbar sind.” 
Drohneneinsätze waren nicht geplant 
(Wagner, Drohnen gegen „Corona”-Ver- 
stöße? www.e110.de 16.04.2020). 


Bundesweit 


Aldi Süd kontrolliert Markt- 
zugang digital 


Der Discounter Aldi Süd will in der 
Corona-Krise mit digitalen Zutritts- 
kontrollen die Zahl der Kunden in sei- 
nen Filialen begrenzen. Sensoren an 
den Ein- und Ausgängen sollen dabei 
die Kundenzahl im Laden in Echtzeit 
überwachen. Aldi-Manager Malte Kuhn 
erklärte am 27.04.2020: „Das Zugangs- 
system gewährleistet, dass die Auslas- 
tungshöchstgrenzen in unseren Filialen 
nicht überschritten werden.” Insgesamt 


will der Discounter die Hälfte seiner 1930 
Filialen mit den Sensoren ausstatten. Die 
Filialmitarbeiter werden dabei automa- 
tisch über eine App, per SMS oder Anrufe 
über die Auslastung informiert. In ein- 
zelnen Filialen soll ein Ampelsystem oder 
eine Bildschirmanzeige getestet werden, 
die die Kunden über die Auslastung der 
Filiale informiert und so den Zugang 
steuert (Aldi Süd setzt wegen Corona auf 
digitale Zutrittskontrollen, rp-online.de 
27.04.2020). 


Hessen 


Corona-Bekämpfung mit 
Palantir 


Hessens Covid-19-Krisenstab nutzt 
künftig Software des US-Unternehmens 
Palantir, um den Überblick über die Co- 
rona-Krise zu behalten. Das zum Einsatz 
kommende Programm heißt „Foundry”. 
Es handelt sich um eine so genannte 
Datamining-Software, die wie andere 
Programme von Palantir Daten aus ver- 
schiedenen Quellen zusammenführt, 
um Verbindungen zwischen Informati- 
onen zu ziehen, die Menschen in kurzer 
Zeit nicht erkennen könnten. Mit dem 
Programm soll gemäß einem Sprecher 
des hessischen Innenministeriums die 
Covid-19-Pandemie praktisch in Echtzeit 
dargestellt werden: „Der Landeskrisen- 
stab plant die Nutzung einer Software der 
Firma Palantir, um allgemein zugängli- 
che Informationen, wie die Verteilung 
von Infektionen mit dem Coronavirus, 
Bettenkapazitäten oder die Versorgung 
mit Schutzausstattung in einem um- 
fassenden Lagebild darzustellen.” Die 
aktuelle Situation solle schnell bewer- 
tet werden und „Hilfe und Material dort 
ankommen, wo sie am dringendsten be- 
nötigt werden. Wenn beispielsweise die 
Infektionszahlen in einem Kreis mit er- 
höhter Altersstruktur und bereits hoher 
Auslastung der stationären Einrichtun- 
gen stark ansteigen, kann so frühzeitig 
die Entscheidung getroffen werden, vor- 
geplante Versorgungseinrichtungen zu 
aktivieren und die erforderliche Schutz- 
ausstattung bereitzustellen.” 

Die Software greife nicht auf „indivi- 
Aualisierte Person- oder Patientendaten” 
zu. Ihr Einsatz sei mit dem hessischen 
Datenschutzbeauftragten abgestimmt. 
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In einer Stellungnahme erklärte Palantir, 
die Datenin Foundry seien gut geschützt, 
durch „granulare Zugriffskontrollen, An- 
onymisierung, sichere Speicherung und 
Löschung sowie umfassende Auditie- 
rungs- und Aufsichtsfunktionen”. Palan- 
tir bot auch der Bundesregierung seine 
Software an. Das Bundesgesundheits- 
ministerium arbeitet aber nicht mit dem 
Unternehmen zusammen. 

Palantir wurde anfangs mit Geld aus 
dem Investment-Arm der CIA finanziert. 
Zu den besten Kunden des Unterneh- 
mens aus Kalifornien gehört der ame- 
rikanische Militär- und Geheimdienst- 
komplex. Dessen Analysten durchforsten 
mit Software der Firma die großen Da- 
tenmengen, die siejeden Tag zusammen- 
sammeln. Deshalb sehen Datenschützer 
und Oppositionspolitiker den Einsatz von 
Software des Unternehmens kritisch, 
auch wegen der Historie US-amerikani- 
scher Spionage in Deutschland. Mitge- 
gründet wurde Palantir vom Facebook- 
Investor und ehemaligen Trump-Berater 
Peter Thiel. 

Das Unternehmen dient sich Behörden 
weltweit oft unentgeltlich im Kampf ge- 
gen Covid-19 an. Gemäß Hessischem In- 
nenministerium wird die Software „dem 
Krisenstab zunächst kostenfrei und 
befristet zur Verfügung gestellt.” Das 
Frankfurter Polizeipräsidium nutzte als 
erste Polizeibehörde bereits die Palantir- 
Software „Gotham“”. Damit können u.a. 
Informationen aus Polizeidatenbanken 
für Kriminalfälle und Fahndungen, Ver- 
bindungsdaten aus der Telefonüber- 
wachung, und Informationen aus dem 
Facebook-Profil von Verdächtigen ver- 
knüpft werden. Nach Beginn des Pilot- 
projektes stellte die Opposition im hessi- 
schen Landtag die Frage, ob die heiklen 
Daten der deutschen Polizei wirklich vor 
dem Zugang der US-Regierung sicher 
seien, wenn Techniker von Palantir die 
Technik im Polizeipräsidium aufsetzten. 
Sie hielt auch die Vergabe des Auftrags, 
dessen Preis geheim gehalten wurde, für 
so intransparent, dass sich ein Untersu- 
chungsausschuss mit den Kontakten der 
Landesregierung zu Palantir befasste. 
Der grüne Bundestagsabgeordnete Kon- 
stantin von Notz kritisierte die aktuellen 
Pläne aus Hessen: „Dass das Innenmi- 
nisterium auch nach einer intensiven 
öffentlichen Debatte und in dem Wissen, 
dass es zahlreiche Alternativen gibt, an 
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der hochumstrittenen Firma Palantir als 
Zulieferer festhält, ist äußerst bedauer- 
lich.” Solche Entscheidungen zerstörten 
das Vertrauen der Bürger. „Für die Ver- 
antwortlichen vor Ort kann man nur hof- 
fen, dass sich das nicht irgendwann böse 
rächt” (Brühl, Hessens Krisenstab erntet 
Kritik für Einsatz von Palantir-Software, 
www.sueddeutsche.de 21.04.2020). 


Nachtrag: Kurz vor Redaktionsschluss 
dieser DANA entschied sich die hessi- 
sche Landesregierung, bei der Corona- 
Bekämpfung auf den Einsatz der Palan- 
tir-Software entgegen ursprünglicher 
Absichten zu verzichten. 


Niedersachsen 


Gesundheitsämter über- 
mitteln Coronalisten an 
Polizei 


Niedersachsens Gesundheitsämter 
übermitteln Daten von Coronavirus-Infi- 
zierten an die Polizei und setzen sich da- 
mit über die Kritik der Landesbeauftrag- 
ten für den Datenschutz (LfD) Barbara 
Thiel hinweg. Auch Namen und Adressen 
von Menschen, die mit ihnen Kontakt 
hatten, stehen auf den sogenannten Qua- 
rantänelisten. Mit Erlass vom 31.01.2020 
wurden die Gesundheitsämter der Land- 
kreise und kreisfreien Städte durch das 
Gesundheits- und Sozialministerium auf 
Veranlassung des Innenministeriums zur 
Weitergabe der Daten in einem Schreiben 
veranlasst. Thiel forderte daraufhin am 
03.04.2020 die Behörden auf, ihre An- 
ordnung umgehend zurückzunehmen. 
Ein Sprecher des Innenministeriums re- 
agierte: „Natürlich nehmen wir die Kri- 
tik der Landesdatenschutzbeauftragten 
sehr ernst und werden die aufgeworfenen 
Fragestellungen nochmals prüfen.” Kurz 
darauf wurde die Anordnung durch einen 
neuen Erlass bestätigt. 

Der Datenschutzblog Freiheitsfoo ver- 
öffentlichte einen kurzen Ausschnitt 
aus dem neuen Erlass. Demnach bezieht 
sich das Innenministerium nicht mehr 
nur auf das Niedersächsische Polizei 
und Ordnungsbehördengesetz (DANA 
3/2019, 155) und das Infektionsschutz- 
gesetz des Bundes, sondern argumen- 
tiert auch mit dem sogenannten recht- 
fertigenden Notstand aus dem Strafge- 


setzbuch (8 34 StGB). Was genau dar- 
über hinaus noch in dem Erlass steht, 
blieb zunächst unbekannt: Selbst die 
Mitglieder des Innenausschusses des 
Landtags erhielten ihn zunächst nicht. 
Er regele „interne Abläufe und ist nicht 
für eine Weitergabe bestimmt“. 

Thiel reagierte umgehend: „Diese 
Rechtsauffassung teile ich ausdrücklich 
nicht. Selbstverständlich handelt es sich 
bei den übermittelten Daten um sen- 
sitive Gesundheitsdaten. Zwar werden 
die Daten auf der Grundlage des Infek- 
tionsschutzgesetzes mit dem Ziel ver- 
arbeitet, die Verbreitung übertragbarer 
Krankheiten zu verhindern. Eine fach- 
spezifische Übermittlungsbefugnis an 
die Polizeileitstellen umfasst das Infekti- 
onsschutzgesetz jedoch nicht.” Auch die 
Voraussetzungen des rechtfertigenden 
Notstands seien nicht für sämtliche Per- 
sonen gegeben, deren Daten pauschal an 
die Polizei übermittelt werden. 

Thiel kann die Weitergabe der Listen 
nicht selbst stoppen: Den Landesgeset- 
zen zufolge kann sie zwar Anordnungen 
erteilen, diese aber nicht vollstrecken 
(DANA 2/2019, 79; 4/2018, 200 f.). 
Oppositionspolitiker fordern deshalb, 
sie mit weitergehenden Rechten auszu- 
statten, so etwa Marco Genthe, innen- 
politischer Sprecher der FDP-Fraktion 
im Landtag: „Sonst muss man sich ehrli- 
cherweise irgendwann mal fragen, wozu 
wir eine Landesdatenschutzbeauftragte 
haben“. Erhält die Übermittlung der Da- 
ten für verfassungswidrig. Die innenpo- 
litische Sprecherin der Grünen-Fraktion 
Susanne Menge forderte, die Weitergabe 
der Daten auszusetzen, bis eine Lösung 
gefunden ist, gemeinsam mit Thiel. Sie 
wirft der rot-schwarzen Landesregie- 
rung vor, Entscheidungen wie diese vor- 
bei am Parlament zu treffen. „Auchin ei- 
ner Krisenzeit kann man nicht plötzlich 
autokratische Strukturen durchsetzen.” 

Menge hat Anfang April beim In- 
nen- sowie beim Sozialausschuss eine 
Unterrichtung über die Rechtsgrund- 
lage der Coronavirus-Listen beantragt 
- sowohl durch die Landesregierung, 
als auch durch die Landesdatenschutz- 
beauftragte. 

Uta Schöneberg, Leiterin des Rechts- 
referats des Landespolizeipräsidiums 
begründete den Erlass: „Die Polizei 
benötigt diese Daten ausschließlich 
zu Zwecken der Eigensicherung.” Auf 
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Nachfrage räumte sie aber ein, die nie- 
dersächsische Polizei würde auch Straf- 
verfahren einleiten, wenn mithilfe der 
übermittelten Daten Quarantäneverstö- 
ße deutlich würden. Die Daten würden 
ausschließlich durch die Leitstellen der 
Polizei aufbewahrt und nicht in die po- 
lizeilichen Systeme eingepflegt. Diese 
Maßgabe galt aber erst nach der Erneue- 
rung des Erlasses. Die Ereignisse hätten 
sich „ein bisschen überschlagen. Für die 
Polizeidirektionen war aber klar - wir 
hatten schon die ganze Woche vorher 
das Thema - dass die Daten nicht in die 
Systeme eingepflegt werden dürfen.” 

Den Zahlen des Robert Koch-Instituts 
zufolge waren Anfang April in Nieder- 
sachsen insgesamt 6.385 Menschen an 
Covid-19 erkrankt. Die Namen vieler 
von ihnen sowie von deren Angehörigen 
dürften bei der Polizei gelandet sein. Der 
Leiter des Corona-Krisenstabs, Staats- 
sekretär im Sozialministerium Heiger 
Scholz (SPD) erklärte, die Quarantäne- 
listen ließen nicht darauf schließen, 
wer tatsächlich krank ist und wer nicht: 
„Dass wir hier hochsensible Gesundheits- 
daten weitergeben, das bestreite ich.” 

Dem widersprach Thiel: „Selbstver- 
ständlich handelt es sich bei den über- 
mittelten Daten um sensitive Gesund- 
heitsdaten. Offenbar hat auch das Mi- 
nisterium selbst erkannt, dass es sich 
unbestreitbar um Gesundheitsdaten 
handelt. Immerhin ist in dem neuen Er- 
lass die Rede von ‚Patienten’.” 

Thilo Weichert, Mitglied im Vorstand 
der Deutschen Vereinigung für Daten- 
schutz, bezeichnete Scholz’ Argumen- 
tation als „absoluten Schwachsinn”. Er 
rät allen Menschen, die in Niedersach- 
sen derzeit unter Quarantäne stehen, 
möglichst bald Strafanzeige gegen das 
Sozialministerium zu stellen. Seiner 
Einschätzung nach verstößt die Wei- 
tergabe der Daten gegen die ärztliche 
Schweigepflicht. Bei Verstößen droht 
eine Freiheitsstrafe bis zu einem Jahr 
oder eine Geldstrafe. In Niedersachsen 
könnten sie tausendfach begangen wor- 
den sein (Laufer, Niedersachsen schickt 
weiter Coronalisten an die Polizei, www. 
netzpolitik.org 08.04.2020; Die Lan- 
desbeauftragte für den Datenschutz 
Niedersachsen, PE 07.04.2020, Landes- 
datenschutzbeauftragte fordert erneut 
sofortigen Übermittlungsstopp von Co- 
rona-Gesundheitsdaten an die Polizei). 
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Mecklenburg-Vorpommern 


Infiziertendaten für Polizei 
mit dem Segen des „Daten- 
schutzes” 


Das Gesundheitsministerium des 
Landes Mecklenburg-Vorpommern be- 
stätigte, dass es in einem Schreiben an 
Landkreise und kreisfreie Städte diese 
aufgefordert habe täglich bis 10.00 Uhr 
Listen mit namentlicher Nennung der 
Covid-19-Infizierten an die beiden Poli- 
zeipräsidien weiterzugeben. Dies wertet 
der Linke-Landtagsabgeordnete Peter 
Ritter als einen Verstoß gegen den Da- 
tenschutz und die ärztliche Schweige- 
pflicht: „Es besteht die Gefahr, dass dem 
Missbrauch personenbezogener Daten 
Tür und Tor geöffnet wird.” In einem 
nächsten Schritt gebe es dann vielleicht 
eine Mitteilung an Supermärkte, welche 
Kunden das Virus haben. 

Nach Meinung des Landesdaten- 
schutzbeauftragten Heinz Müller indes 
liegt der Vorgabe ein berechtigtes Inte- 
resse der Polizei zugrunde, die bei Ein- 
sätzen etwa gegen häusliche Gewalt wis- 
sen müsse, ob ein Infektionsrisiko für 
sie bestehe: „Die Abwägung gegenüber 
den Interessen von Erkrankten ist zuge- 
gebener Maßen schwierig. Aber, wenn 
wir das Infektionsrisiko verringern kön- 
nen, sollten wir es tun.” Doch müsse mit 
den personenbezogenen Daten äußerst 
sorgsam umgegangen werden, mahnte 
der Datenschützer. Ritter dagegen hält 
die regelmäßige Datenübermittlung zu 
Infizierten für unzulässig: „Meine Frak- 
tion erwartet, dass derlei Meldepraxis 
und Stigmatisierung von möglicherwei- 
se infizierten Personen unterbleibt.” 

Nicht nur aus Mecklenburg-Vorpom- 
mern und Niedersachsen (s.o.) gibt 
es Nachrichten über unzulässige Da- 
tenübermittlungen von Gesundheits- 
ämtern an die Polizei. In Baden-Würt- 
temberg haben mit Unterstützung des 
Innenministers Thomas Strobl mehrere 
Gesundheitsämter Daten von Corona-In- 
fizierten weitergegeben - weil sich die 
Polizei vor Infektionen schützen müs- 
se. Der Landesbeauftragte Stefan Brink 
kritisierte, dass diese Daten rechtswid- 
rig übermittelt wurden und forderte 
ihre Löschung. In Bremen musste die 
dortige Datenschutzbeauftragte Imke 


Sommer eine vergleichbare Praxis 
stoppen (Sauer, Covid-19-Infizierte in 
MV werden an Polizei gemeldet, www. 
nordkurier.de30.03.2020;Polizeiim An- 
griff auf Grundrechte (1), extradienst. 
net 03.04.2020). 


Saarland 


Temperaturkontrolle an 
Edeka-Eingang 


In Saarbrücken scannte „Edeka 
Lonsdorfer” von allen Kundinnen und 
Kunden die Körpertemperatur mit einer 
Wärmebildkamera in Echtzeit am Ein- 
gang der Filiale in der Mainzer Straße. 
Die Behörde der saarländischen Landes- 
beauftragten für Datenschutz hat des- 
halb ein Verwaltungsverfahren eröffnet. 
Ein Mitarbeiter sprach die Passierenden 
bei erhöhter Temperatur an. Gab es hier- 
für keine Erklärung, musste der Kunde 
den Laden verlassen. 

Marco Schömer von der saarländi- 
schen Datenschutzbehörde erklärte, das 
System widerspreche der Datenschutz- 
grundverordnung (DSGVO). Das Recht 
auf informationelle Selbstbestimmung 
der Kunden werde verletzt. Sie könnten 
klagen, weil die Kamera gegen die Per- 
sönlichkeitsrechte geht. Der Geschäfts- 
führer von „MATEC Sicherheitssysteme“, 
der Saarbrücker Firma, die das Sicher- 
heitssystem eingebaut hat, erklärte, 
Kunden und Mitarbeiter würden sich 
sicherer fühlen. Das Vorgehen sei mit ei- 
nem Anwalt abgesprochen gewesen: Die 
Wärmebildkamera sei DSGVO-konform, 
weil sie die Daten nicht speichere. 

Dem entgegnet Schömer: „Wenn je- 
mand - ob krank oder kerngesund -von 
den Augen anderer Kunden zur Rede ge- 
stellt wird, besteht ganz klar die Gefahr 
der Stigmatisierung.” Auf der Facebook- 
Seite von „MATEC Sicherheitssysteme” 
wird für die Thermalkamera mit dem 
Einsatz im Großmarkt von „Schwamm“ 
in der Bismarckstraße in Saarbrücken 
geworben. Hier wird die Kamera zum 
Fieber-Screening von Mitarbeitern ge- 
nutzt. Laut „Schwamm“ befindet sich 
die Kamera am Personaleingang. Frem- 
de Menschen würden nicht erfasst (We- 
gen Corona: Supermarkt scannt Kunden 
am Eingang - Datenschutz-Experte ent- 
setzt, www.focus.de 16.04.2020). 
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Schleswig-Holstein 


UKSH plant Corona- 
Biobank 


Das Universitätsklinikum Schleswig- 
Holstein (UKSH) will eine Corona-Bio- 
bank aufbauen. Sie soll in das von der 
Bundesregierung ins Leben gerufene 
Covid-19-Forschungsnetz der Univer- 
sitätsmedizin eingebettet werden. Jo- 
achim Thiery, Vorstand für Forschung 
und Lehre am UKSH, begründete das 
Projekt: „Wir vermuten, dass Covid-19 
nicht nur zu fürchterlichen Akutschä- 
den, sondern auch zu Folgeerkrankun- 
gen führt“. Möglichst alle Schleswig- 
Holsteiner, die eine Corona-Infektion 
überstanden haben, sollen dafür über 
einen Zeitraum von mindestens zehn 
Jahren gründlich nachuntersucht wer- 
den sowie Blutproben abgeben. Hinter- 
grund seien „Berichte beispielsweise zu 
neurologischen Störungen“ infolge des 
Virus. Befürchtet würden Herzinfarkte 
oder Schlaganfälle noch Jahre nach ei- 
ner überstandenen Covid-19-Infektion. 
„Die überschießende Entzündung ver- 
ursacht bei manchen Patienten schwere 
Schädigungen der inneren Aderhaut, 
die Mikrogerinnsel auslösen könnten.” 
Auch Blutdruckrequlation und Leber 
seien betroffen. 

Das UKSH hat jahrzehntelange Er- 
fahrungen mit seiner Biobank „pop- 
gen“, die chronische Krankheiten 
auf Populationsebene abbilde. Thiery 
erklärt, dass sich Schleswig-Holstein 
besonders für solche hochstandardi- 
sierten Sammlungen eignet, „da wir 
mit Dänemark im Norden, den Mee- 
ren im Westen und Osten natürliche 
Barrieren bei der Krankenversorgung 


Jetzt DVD-Mitglied werden: 


und wenig Abwanderung von Patien- 
ten haben“. Das Projekt werde in en- 
ger Kooperation mit allen deutschen 
Universitätskliniken laufen - koor- 
diniert von der Berliner Charite. Zur 
noch nicht gesicherten Finanzie- 
rung erläutert Thiery: „Verglichen 
mit den unübersehbaren Kosten von 
Corona-Folgeerkrankungen - mögli- 
cherweise in Milliardenhöhe, wenn 
wir zu spät kommen - liegt unser Pro- 
jekt im Bereich weniger Millionen 
pro Jahr“ (Uniklinik Schleswig-Hol- 
stein will Corona-Biobank aufbauen, 
www.oldenburger-onlinezeitung.de 
17.04.2020; „Schädigung des Her- 
zens”, Der Spiegel Nr. 17 v. 18.04.2020, 
18). 


Weltweit 


Amazon checkt Körpertem- 
peratur von Mitarbeitern 


Der Online-Versandhändler Amazon 
setzt an einigen Standorten Wärmebild- 
kameras zur Eindämmung des Coronavi- 
rus ein. Um die Gesundheit und Sicher- 
heit der Mitarbeiter zu unterstützen, 
werde bereits täglich ihre Temperatur 
gemessen, erklärte Amazon-Sprecherin 
Kristen Kish auf Anfrage. An einigen 
Standorten würden nun zusätzlich Wär- 
mebildkameras eingesetzt, an welchen, 
gab sie nicht bekannt. Amazon wird 
vorgeworfen, in der Corona-Krise nicht 
genug für den Schutz der Mitarbeiter zu 
unternehmen. Der Konzern hatte des- 
halb schon mit Protesten und Arbeitsnie- 
derlegungen zu kämpfen (Amazon nutzt 
Wärmebildkameras, SZ 20.04.2020, 18). 
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Weltweit 


Facebook beschafft Forschern 
COVID-19-Symptomdaten 


Gemäß einer Ankündigung durch Fa- 
cebooks Gründer und Chef Mark Zucker- 
berg am 20.04.2020 fordert das Online- 
Netzwerk Facebook seine mehr als 2,5 
Milliarden Nutzenden weltweit auf, an 
einer Umfrage der Universität von Ma- 
ryland zur Verbreitung von Coronavirus- 
Symptomen teilzunehmen. Die zunächst 
auf die USA beschränkte Aktion sollenun 
global durchgeführt werden. Facebook als 
Plattform mit Milliarden Mitgliedern seiin 
einer einzigartigen Position, um Wissen- 
schaftlern und Behörden zu helfen. 

Die Forschenden der Universität Car- 
negie Mellon veröffentlichten am sel- 
ben Tag erste Erkenntnisse aus der seit 
Anfang April laufenden Umfrage in den 
USA. Demnach bekommen sie pro Wo- 
che Antworten von rund einer Million 
Facebook-Nutzenden. Daraus lasse sich 
zum Beispiel ableiten, dass in einigen 
New Yorker Vororten zwei bis drei Prozent 
der Einwohner Covid-19-Symptome hät- 
ten. Die weltweite Umfrage wird von der 
Universität von Maryland organisiert. 
Facebook soll keinen Zugang zu den Ant- 
worten der Nutzenden haben. 

Facebook macht zudem aggregierte 
Daten öffentlich, die Aufschluss über 
die Mobilitätsströme inmitten von 
Ausgeh- und Kontaktbeschränkungen 
geben. Ähnliche Informationen gibt 
es auch zum Beispiel von Mobilfunk- 
Anbietern sowie Apple und Google (Fa- 
cebook will Link zu Corona-Umfrage 
weltweit anzeigen, www.frankenpost. 
de 20.04.2020; Fragen an Milliarden, SZ 
21.04.2020, 16). 
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Auszug aus der „Bayerischen Staatszeitung” Nr. 14 v. 03.04.2020, 5. 2 


Die Frage der Woche: Sollen zur Eindämmung des 
Coronavirus Handydaten genutzt werden dürfen? 


Ja 


Alfred Winter, Präsident der Deut- 
schen Gesellschaft für Medizinische In- 
formatik, Biometrie und Epidemiologie 
(GMDS) 

Handys mit Bluetooth sind geeignet, 
um Kontakte von Infizierten mit nicht 
infizierten Personen im Nachhinein zu 
ermitteln. Wenn zwei teilnehmende 
Handys nahe beieinander sind, kann 
eine App Kontaktinformationen austau- 
schen. Die Privatsphäre aller Beteiligten 
wird dabei gewahrt, weil keine persönli- 
chen Informationen ausgetauscht wer- 
den müssen. Es müssen auch keine In- 
formationen über Ort und Zeitpunkt des 
Kontakts in zentralen Datenbanken ge- 
speichert werden. Mit der Einrichtung 
einer neutralen Treuhandstelle können 
die identifizierenden Daten von Perso- 
nen strikt von den Kontaktinformatio- 
nen getrennt werden. 

Dazu müssen sich die Personen, wel- 
che die App nutzen möchten, bei der 
Treuhandstelle registrieren lassen. Um 
sich zu registrieren, gibt zum Beispiel 
Frau Müller ihre E-Mail-Adresse bei der 
Treuhandstelle ab und bekommt eine 
zufällig erzeugte Nummer zurück, das 
Pseudonym. Die Treuhandstelle merkt 
sich nur, welche E-Mail-Adresse zu wel- 
chem Pseudonym gehört. Kommt nun 
das Handy von Frau Müller nahe am 
Handy von Herrn Meier vorbei, werden 
lediglich die Pseudonyme der beiden 
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ausgetauscht. Die Pseudonyme werden 
nur eine begrenzte Zeit gespeichert, 
vielleicht 18 Tage. Sollte Herr Meier 
kurze Zeit später positiv auf das Coro- 
navirus getestet werden, übermittelt er 
mit seiner App alle noch gespeicherten 
Pseudonyme an die Treuhandstelle, die 
dann Frau Müller und andere Personen, 
die in letzter Zeit in der Nähe von Herrn 
Meier waren, informieren kann. Bei sol- 
chen Verfahren hält die GMDS Kontak- 
termittlungs-Apps für sehr sinnvoll und 
auch vertretbar. 

Wie in vielen Bereichen der medi- 
zinischen Forschung ist auch hier die 
Aufklärung und die Einwilligung der 
Nutzer erforderlich, auch um unnöti- 
ge Verängstigungen zu vermeiden. So 
kann moderne Technologie eine Epide- 
mie eindämmen helfen, ohne die Privat- 
sphäre zu verletzen. Das massenhafte 
Auslesen von Verbindungsdaten in so- 
genannten Funkzellen ist dagegen viel 
zu ungenau und schafft riesige Daten- 
schutzprobleme. 


Nein 


Frank Spaeing, Vorsitzender der 
Deutschen Vereinigung für Datenschutz 
e.V. (DVD) 

Frau Merkel sagt, dass wir das Coro- 
na-Virus besiegen können, ohne unse- 
re freiheitlichen und demokratischen 
Prinzipien aufgeben zu müssen. Daran 
sollten sich alle orientieren, die ange- 


sichts des Rückgangs der Infektions- 
zahlen im Polizeistaat China meinen, 
einer derartigen Gesundheitsherausfor- 
derung könne man nur mit autoritären 
Mitteln Herr werden. Das Gegenteil ist 
richtig: Die wirksamsten Mittel gegen 
eine Pandemie sind solche, die von 
den Menschen verstanden und freiwil- 
lig mitgetragen werden. Aktuell gibt es 
eine große Bereitschaft der Bürger, sich 
bewusst einzuschränken. Ob dies aus- 
reicht, muss immer wieder neu geprüft 
werden; wenn nicht, kann und darf der 
Gesetzgeber rigider vorgehen; geeig- 
net, erforderlich und verhältnismäßig 
muss es dennoch sein. 

Digitale Technik kann einen Beitrag 
leisten, um Betroffenen zusätzlichen 
Schutz zu geben. Ob die Mobilfunkdaten 
der Telekom hilfreich sein werden, kann 
man bezweifeln. Sind diese, wie angege- 
ben, aggregiert und damit anonym, ha- 
ben wir kein Datenschutzproblem. Apps 
auf Mobilgeräten mit einer präzisen 
Lokalisierungsfunktion, etwa mit GPS, 
könnten die Nutzenden informieren, 
wann und wo sie sich in einem Risikoge- 
biet aufhalten. Mit Bluetooth-Lösungen 
könnte gar eine Warnung von Gerät zu 
Gerät beiräumlicher Nähe ohne zentrale 
Datenzusammenführung erfolgen. 

Wer wirksam die Quarantäne von An- 
gesteckten zu Hause überwachen will, 
der kann sich mit Smartphone-Tracking 
nicht begnügen. Das kann man zu Hau- 
se lassen, wenn man sich - illegal außer 
Haus - mit Freunden trifft. Nötig wäre 
dann eine elektronische Fußfessel, die 
wir bisher nur für terroristische Ge- 
fährder und schwere Straftäter kennen. 
Südkorea hat gezeigt, dass man mit in- 
tensivem Testen die Ansteckungsraten 
stark senken kann. Eine medizinische 
Lösung der Corona-Krise bekommt un- 
serer Demokratie mehr als eine poli- 
zeistaatliche. Zumal rechte politische 
Kräfte an einer solchen Lösung Gefallen 
finden würden - auch für die Zeit nach 
der Krise. 
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Europäische Menschenrechts- und 
Digitalrechtsorganisationen warnen vor illegalen 
Online-Werbemethoden durch Apps 


Bild: iStock 


« Digitalcourage, Digitale Gesellschaft, 
Deutsche Vereinigung für Daten- 
schutz und das Netzwerk Daten- 
schutzexpertise fordern Datenschutz- 
behörden auf, Datenweitergabe bei 
Apps wie z. B. Grindr, Tinder und Ok- 
Cupid zu untersuchen (Text der Auf- 
forderung unten) 

« Studie „Out of Control” belegt Weiter- 
gabe sensibler Daten wie Standort, 
sexuelle Orientierung, religiöse und 
politische Überzeugungen 


Auf Einladung der Civil Liberties Uni- 
on for Europe haben zehn Menschen- 
rechts- und Digitalrechtsorganisationen 
in sieben EU-Ländern die Datenschutz- 
behörden in ihren Ländern aufgefor- 
dert, Verstöße gegen die europäische 
Datenschutz-Grundverordnung (DSGVO) 
durch Smartphone-Apps wie z. B. Grin- 
dr, Tinder und OkCupid zu untersuchen. 
In Deutschland appellieren die Digi- 
tale Gesellschaft, Digitalcourage, die 
Deutsche Vereinigung für Datenschutz 
und das Netzwerk Datenschutzexper- 
tise an die Datenschutzaufsichtsbe- 
hörden, auf der Grundlage einer umfas- 
senden Analyse [1] mit dem Titel „Out 
of Control” (Außer Kontrolle) gegen 
App-Betreiber vorzugehen, die ohne 
wirksame Einwilligung der Nutzenden 
hochsensible Daten erheben und für Wer- 
bezwecke nutzen. An der Kampagne sind 
weitere Nicht-Regierungsorganisationen 


106 


aus Kroatien, Italien, Ungarn, Slowe- 
nien, Spanien und Schweden beteiligt. 
Die Analyse wurde vom Norwegischen 
Verbraucherrat (Norwegian Consumer 
Council - NCC) und der österreichischen 
Organisation für digitale Rechte noyb [2] 
durchgeführt. 

Die in der Analyse untersuchten Mo- 
bil-Apps, darunter Dating- und Mens- 
truationszyklus-Apps, leiten die sen- 
siblen Informationen ihrer Nutzerinnen 
und Nutzer über deren genauen Stand- 
ort, sexuelle Orientierung, religiöse 
und politische Überzeugungen und 
viele weitere persönliche Informatio- 
nen an zahlreiche Drittfirmen in einem 
intransparenten Werbetechnologie- 
Ökosystem weiter. So verteilt die welt- 
weit verbreitete Dating-App Grindr [3] 
die Nutzungsdaten, etwa auch die aktu- 
ellen Lokalisierungsangaben, an mehr 
als ein Dutzend weiterer Unternehmen. 
Die Dating-App OkCupid listet über 300 
Werbe- und Analyse-„Partner“. 

Friedemann Ebelt von Digitalcourage: 
„Smartphone-Nutzer haben regelmäßig 
keine Chance, sich vor den Folgen der Da- 
tenausbeutung und der massiven kom- 
merziellen Überwachung zu schützen. 
Diese Folgen können für den Einzelnen 
gravierend sein bis hin zu einer Gefähr- 
dung von Leib und Leben. Die hochsensi- 
tiven Persönlichkeitsprofile haben das Po- 
tenzial, die privaten Freiheiten in unserer 
Gesellschaft zu untergraben“. 


Elke Steven von der Digitalen Gesell- 
schaft: „Die Daten der App-Nutzenden 
werden unter Verletzung der Regeln der 
Datenschutz-Grundverordnung verarbei- 
tet. Die eingeholten Zustimmungen zur 
Auswertung sind absolut intransparent 
und verstoßen zudem gegen nationales 
und europäisches Verbraucherrecht.” 

Frank Spaeing, Vorsitzender der Deut- 
schen Vereinigung für Datenschutz: 
„Die europäischen Datenschutzbehörden 
müssen dringend schneller und effektiver 
zusammenarbeiten, um den täglich milli- 
onenfach stattfindenden Rechtsbruch zu 
ahnden und zu beenden. Dafür müssen sie 
besser als bisher ausgestattet werden.“ 

Thilo Weichert vom Netzwerk Daten- 
schutzexpertise: „Der augenblickliche 
Zustand ist nur schwer zu ertragen: Kleine- 
re Verstöße werden derzeit schon wirksam 
verfolgt. Doch bei den oft dramatischen 
Verletzungen des Datenschutzes durch in- 
ternationale Internet-Unternehmen muss 
sich die Wirksamkeit der DSGVO erst noch 
erweisen. In dieser Auseinandersetzung 
gegen die Daten-Goliaths benötigen die 
Aufsichtsbehörden die Unterstützung der 
Öffentlichkeit, der Verbraucherschützer 
und der Politik.” 


Weitere Informationen finden Sie 
auf der Webseite der Kampagne #Stop 
SpyingOnUs [2]. 

Detaillierte Informationen zum Real 
Time Bidding, welches in der Analyse 
„Out of Control” eine Rolle spielt, kön- 
nen Sie dem DANA-Sonderheft 3-2019 
entnehmen: 
https://www.datenschutzverein. 
de/wp-content/uploads/2019/09/ 
DANA_19_3_Sonderheft_Real_Time_ 
Bidding.pdf 


Für weitere Einzelheiten über die Kam- 
pagne wenden Sie sich bitte an: 
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Friedemann Ebelt, 
friedemann.ebelt@digitalcourage.de 
Frank Spaeing, 
spaeing@datenschutzverein.de 

Elke Steven, 
elke.steven@digitalegesellschaft.de 
Thilo Weichert, 

weichert@netzwerk- 
datenschutzexpertise.de 


Für Fragen zu den Organisationen in 
den anderen europäischen Staaten 
wenden Sie sich an Orsolya Reich, 
o.reich@liberties.eu 


[1] Siehe https://fil.forbrukerradet.no/ 
wp-content/uploads/2020/01/2020- 
01-14-out-of-control-final-version.pdf 

[2] Siehe https://noyb.eu/out-of- 
control/?lang=de 


[3] Grindr bezeichnet sich selbst als das 
weltgrößte soziale Netzwerk für schwule, 
queere, bi- und transsexuelle Menschen, 
mit der sich Menschen in der näheren 
Umgebung lokalisieren und kontaktieren 
können. Siehe https://www.grindr.com/ 


[4] Siehe https://www.liberties.eu/de/ 
campaigns/stopspyingonus-fixad-tech- 
kampagne/307 


Schreiben an die deutschen Datenschutzaufsichtsbehörden 


Die Industrie für digitale Werbung verletzt die 
Privatsphäre der Verbraucher 


Sehr geehrte Damen und Herren, 


wir möchten Ihre Aufmerksamkeit 
auf einen am 14. Januar 2020 vom nor- 
wegischen Verbraucherrat (Norwegian 
Consumer Control) veröffentlichten Be- 
richt [1] lenken, der sich mit den ver- 
borgenen Seiten der Datenwirtschaft 
auseinandersetzt. Der Bericht mit dem 
Titel „Out of Control” („Außer Kontrol- 
le“) beschreibt, wie das Online-Mar- 
keting in der Werbebranche (Adtech) 
funktioniert. Er kommt dabei zu dem 
Schluss, dass das umfassende Nachver- 
folgen (Tracking) und das Erstellen von 
individuellen Profilen (Profiling), die 
das Herzstück des derzeitigen Adtech- 
Ökosystems bilden, von Grund auf miss- 
bräuchliche Praktiken sind, die gegen 
die Europäische Datenschutz-Grundver- 
ordnung (DSGVO) verstoßen. 

Die Menschen tragen ihre Mobiltelefo- 
ne überall mit sich herum und die Geräte 
zeichnen Informationen über sensible 
Themen wie Gesundheit, Verhalten, Inte- 
ressen und sexuelle Orientierung auf. Der 
Bericht konzentriert sich auf die persön- 
lichen Daten, die von mobilen Anwen- 
dungen gesammelt werden, und auf das 
dahinter verborgene informationstech- 
nische Ökosystem. Er wirft ein Licht auf 
die kommerziellen Dritten, die im Hin- 
tergrund bleiben und heimlich, still und 
leise unsere persönlichen Daten erhalten 
und auswerten. Die Analyse in dem Be- 
richt umfasst 10 Apps aus verschiedenen 
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Kategorien (z.B. Dating, Fruchtbarkeits- 
Tracking, Kinder-Apps) und identifiziert 
die wesentlichen Probleme: 

Persönliche Daten werden systema- 
tisch abgesaugt und von diversen Un- 
ternehmen unter fragwürdigem und 
falschem Verweis auf nicht anwendba- 
re Rechtsgrundlagen und in jedem Fall 
ohne Wissen oder Kontrolle der Verbrau- 
cherinnen und Verbraucher verwertet. 
Insbesondere gilt dabei: 

Die Unternehmen erhalten keine 
wirksame Einwilligung der Verbrau- 
cherinnen und Verbraucher zur Verar- 
beitung ihrer persönlichen Daten, auch 
nicht für die Verarbeitung von Daten, 
die unter Artikel 9 (besondere Daten- 
kategorien) der DSGVO fallen und daher 
eine ausdrückliche Zustimmung erfor- 
dern. 

Die Unternehmen erfüllen auch 
nicht die Voraussetzungen, um be- 
rechtigte Interessen als Rechtsgrund- 
lage für die Datenverarbeitung (gemäß 
Art. 6 Abs. 1 lit. f DSGVO) anführen zu 
können. Diese Regelung würde ohnehin 
keine geeignete Rechtsgrundlage für die 
im Bericht analysierten Verarbeitungs- 
vorgänge darstellen. Die umfassende 
Profilierung und Kategorisierung von 
Verbraucherinnen und Verbrauchern 
dient nicht nur der gezielten Werbung, 
sondern ist auch noch in verschiedenen 
anderen Bereichen schädlich und zwar 
sowohl für die einzelnen Bürgerinnen 
und Bürger als auch für die Gesellschaft 


als Ganzes. Zu den negativen Auswir- 
kungen gehören verschiedene Formen 
der Diskriminierung und der Exklusion, 
weit verbreiteter Betrug, Manipulation 
und nicht zuletzt die abschreckende 
Wirkung, die massive kommerzielle 
Überwachungssysteme sowohl auf Ein- 
zelpersonen als auch ganz allgemein auf 
demokratische Debatten haben können. 

Die einzelnen Personen können 
dem Tracking nicht ausweichen, ers- 
tens, weil sie nicht mit den notwendi- 
gen Informationen versorgt werden, um 
beim ersten Start der Apps eine infor- 
mierte Entscheidung zu treffen, zwei- 
tens aber auch, weil ihnen als Betrof- 
fenen das Ausmaß der Verfolgung, des 
Datenaustauschs und der allgemeinen 
Komplexität des Adtech-Ökosystems 
unverständlich bleibt. Der Einzelne 
kann nicht wirklich entscheiden, wie 
seine persönlichen Daten gesammelt, 
geteilt und verwendet werden. 

Selbst wenn einzelne Bürgerinnen 
und Bürger umfassende Kenntnisse 
über die Funktionsweise der Adtech- 
Technologie hätten, gäbe es immer 
noch nur sehr begrenzte Möglichkei- 
ten, die Datenausbeutung zu stop- 
pen oder zu kontrollieren. Die Anzahl 
und Komplexität der Akteure, die am 
Adtech-Ökosystem beteiligt sind, ist 
erschütternd. Den einzelnen Personen 
steht so keine sinnvolle Möglichkeit 
zur Verfügung, sich zu wehren oder 
sich anderweitig zu schützen. 
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Aus all dem folgt, dass die im gesam- 
ten Adtech-Ökosystem stattfindende 
massive kommerzielle Überwachung in 
einem systematischen Widerspruch zu 
den notwendigen Rahmenbedingungen 
der Demokratie steht. Studien haben 
gezeigt, dass Individuen ihr Verhalten 
entsprechend verändern, wenn sie das 
Gefühl haben, dass ihre Handlungen 
erfasst werden und möglicherweise 
gegen sie verwendet werden können. 
Im System des Ad-Tracking wird im 
Grunde alles aufgezeichnet und für 
nicht vorhersehbare Zwecke nutzbar 
gemacht. Dies kann Folgen auf die Art 
und Weise haben, wie wir das Internet 
nutzen und darauf, ob wir bereit sind, 
nach bestimmten Informationen über 
die Arbeitsweise unserer Institutionen 
oder über das Handeln der Politik zu 
suchen. Und das ist auch der Grund, 
warum die kommerzielle Überwachung 
langfristig schwerwiegende Folgen für 
den Zugang der Menschen zu Informati- 
onen, für ihre Meinungsfreiheit, für die 
demokratischen Institutionen und für 
die Gesellschaft als Ganzes haben kann. 

Eine massive kommerzielle Über- 
wachung kann unsere Grundrechte 
und Freiheiten auch auf direktere 
Weise gefährden. In Ägypten zum 
Beispiel hat die Polizei die Dating-App 
Grindr eingesetzt, um Homosexuelle 
zu identifizieren und zu verhaften [2]. 
Wenn Standortdaten an Hunderte von 
Unternehmen weitergegeben werden, 
muss nur eines dieser Unternehmen die 


Daten selbst weitergeben oder gehackt 
werden, um Menschen in physische Ge- 
fahr zu bringen. 

Auf Grundlage dieser Erkenntnisse 
hat der norwegische Verbraucherrat bei 
der norwegischen Datenschutzbehör- 
de eine Reihe von Beschwerden gegen 
verschiedene Adtech-Firmen und die 
Dating-App Grindr eingereicht. Die na- 
tionalen Regulierungs- und Aufsichts- 
behörden müssen aktive Maßnahmen 
ergreifen, um diese Probleme anzuge- 
hen und um durchzusetzen, dass die 
Adtech-Industrie ihre Arbeitsweise 
grundlegend ändert. 

Wir hoffen, dass Sie unsere Beden- 
ken bezüglich der in diesem Bericht 
angesprochenen Themen teilen. Die 
Untersuchung wurde in Norwegen 
durchgeführt, aber einige der analysier- 
ten Anwendungen (z.B. Grindr, siehe 
https://de.wikipedia.org/wiki/Grindr 
und dort Entstehung und Verbreitung, 
oder auch Tinder, siehe https://tinder. 
com/?lang=de) sind auch in Deutsch- 
land tätig, und die Adtech-Firmen, ge- 
gen die sich die Beschwerde des norwe- 
gischen Verbraucherrats wie auch von 
noyb [3] richtet, verarbeiten mit hoher 
Wahrscheinlichkeit auch Daten deut- 
scher Verbraucherinnen und Verbrau- 
cher. 

Wir bitten Sie daher dringend, diesen 
dargestellten Problemen nachzugehen 
und die norwegische Aufsichtsbehör- 
de bei der Bearbeitung der Originalbe- 
schwerden durch paralleleBemühungen 


innerhalb der EU zu unterstützen. Die 
Bedenken, die durch die kommerziel- 
le Überwachung und die Praktiken der 
Adtech-Industrie aufgeworfen werden, 
betreffen die gesamte EU. 

Über eine Rückmeldung zu Ihren ge- 
planten Aktivitäten zu diesen Proble- 
men möchten wir Sie bitten. 

Dieses Schreiben ist in enger Zu- 
sammenarbeit der Deutschen Verei- 
nigung für Datenschutz mit Digital- 
courage, der Digitalen Gesellschaft, 
dem Netzwerk Datenschutzexpertise 
und Liberties.eu entstanden. 

Als Anlage zu diesem Schreiben haben 
wir Ihnen das DANA-Sonderheft 2-2019 
mit dem Themenschwerpunkt Real Time 
Bidding beigefügt [4]; in diesem werden 
einige Themen besprochen, die auch im 
Bericht angesprochen werden. 


[1] Siehe https://fil.forbrukerradet.no/ 
wp-content/uploads/2020/01/2020- 
01-14-out-of-control-final-version.pdf 


[2] Siehe z.B. Article 19: LGBTQ ONLINE 
Summary Report. Apps, arrests and abu- 
sein Egypt, Lebanon and Iran. February 
2018. https://www.article19.org/wp- 
content/uploads/2018/02/LGBTQ-Apps- 
Arrest-and-Abuse-report_22.2.18.pdf 


[3] Siehe https://noyb.eu/out-of- 
control/?lang=de 


[4] https://www.datenschutzverein. 
de/wp-content/uploads/2019/09/ 
DANA_19_3_Sonderheft_Real_Time_ 
Bidding.pdf 


Pressemitteilung der Gesellschaft für Freiheitsrechte (GFF) vom 27.12.2019 


Studie: Handyauswertung bei Geflüchteten ist teuer, 
unzuverlässig und gefährlich 


Das Bundesamt für Migration und 
Flüchtlinge (BAMF) analysiert routine- 
mäßig die Mobiltelefone asylsuchender 
Menschen. Die Datenträgerauswertung 
ist kostspielig, intransparent, generiert 
kaum verwertbare Ergebnisse und ver- 
letzt Grundrechte, so das Ergebnis einer 
heute von der Gesellschaft für Freiheits- 
rechte e.V. (GFF) veröffentlichten Studie. 
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Die Studie „Das Smartphone, bitte! 
Digitalisierung von Migrationskontrolle 
in Deutschland und Europa [2]” befasst 
sich mit der im Jahr 2017 eingeführ- 
ten Analyse elektronischer Datenträger 
durch das BAMF. Wenn eine asylsuchen- 
de Person weder Pass noch Passersatz- 
dokument vorweisen kann, ist die Be- 
hörde dazu berechtigt, ihr Smartphone 


auszuwerten, um Hinweise auf Identität 
und Herkunft zu erhalten. Analysiert 
werden Kontakte, ein- und ausgehende 
Anrufe und Nachrichten, Browserver- 
läufe, Geodaten aus Fotos sowie ver- 
wendete Emailadressen und Benutzer- 
namen auf Plattformen wie Facebook, 
booking.com und Tinder. Ein konkreter 
Verdacht, dass die asylsuchende Person 
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über ihre Identität oder ihr Herkunfts- 
land lügt, ist nicht erforderlich. 

„Handys enthalten unzählige per- 
sönliche Daten. Ein staatlicher Zugriff 
daraufist deshalb an hohe verfassungs- 
rechtliche Hürden geknüpft. Indem das 
BAMF ohne konkrete Verdachtsmomen- 
te die Handys geflüchteter Menschen 
durchleuchtet, missachtet es diese Vor- 
gaben eklatant”, sagt Lea Beckmann, 
Juristin bei der GFF und Co-Autorin des 
Berichts. „Es verletzt damit das Grund- 
recht auf Vertraulichkeit und Integrität 
informationstechnischer Systeme von 
zigtausenden Menschen - und das für 
wenig aussagekräftige Ergebnisse.” 

Seit der Einführung des Verfahrens im 
Jahr 2017 hat das BAMF hochgerechnet 
etwa 20.000 Mobiltelefone von Asylsu- 
chenden ausgelesen und über 11 Mil- 
lionen Euro in dieses Verfahren inves- 
tiert. Im Zeitraum Januar 2018 bis Juni 
2019 scheiterte das Auslesen in etwa 
einem Viertel der Fälle bereits an tech- 
nischen Problemen. Mehr als die Hälfte 
der erfolgten Datenträgerauswertungen 


erwiesen sich als unbrauchbar. Nur in 
1-2% der verwertbaren Auswertungen 
fanden sich Widersprüche zu den An- 
gaben, die die Asylsuchenden selbst in 
ihren Befragungen gemacht hatten. Von 
der Einführung des Handydatenausle- 
sen profitierten also in erster Linie die 
Technologiehersteller. 

„Die Auswertung von Handydaten 
durch das BAMF zeigt die Grenzen un- 
seres Rechtsschutzsystems: Die Betrof- 
fenen haben praktisch keine Möglich- 
keit, sich dagegen zu wehren. Nur das 
Bundesverfassungsgericht kann das zu- 
grundeliegende Gesetz für verfassungs- 
widrig erklären und kippen. Ein solches 
Gerichtsverfahren ist langwierig und 
kostspielig. Für die einzelne Person 
kommt Hilfe dann längst zu spät”, kri- 
tisiert Beckmann. „Wir wollen helfen, 
diese Rechtsschutzlücke zu schließen. 
Deshalb bereiten wir derzeit gemeinsam 
mit betroffenen Personen und engagier- 
ten Kooperationsanwälten rechtliche 
Schritte gegen die Datenträgerauswer- 
tung vor.” 


Für die Studie werteten die Journa- 
listin Anna Biselli und die Juristin Lea 
Beckmann einen umfangreichen Quel- 
lenbestand aus, darunter Ergebnisbe- 
richte von Datenträgerauswertungen, 
Asylakten, interne Dienstanweisungen, 
Handbücher und Schulungsunterla- 
gen des BAMF, Dokumente aus dem 
Gesetzgebungsverfahren, Stellungnah- 
men von Rechtswissenschaftler*innen, 
Flüchtlingsorganisationen und Ver- 
bänden, sowie Informationen, die 
durch parlamentarische Anfragen in 
Bundestag und Landesparlamenten 
öffentlich wurden. Zudem führten die 
Autorinnen Hintergrundgespräche 
mit Geflüchteten, Anwält*innen und 
Rechtswissenschaftler*innen, Verfah- 
rensberatungsstellen und Menschen- 
rechtsorganisationen in Deutschland 
und anderen Ländern Europas. 

Die Studie „Das Smartphone, bitte! 
Digitalisierung von Migrationskontrol- 
le in Deutschland und Europa” finden 
Sie unter: https://freiheitsrechte.org/ 
studie-handydatenauswertung 


Presserklärung des Gen-ethischen Netzwerks und des Netzwerks 
Datenschutzexpertise vom 06.02.2020 


Gefährlicher Unsinn bei mymuesli: 
genetische Konsumberatung 


Das Gen-ethische Netzwerk und das 
Netzwerk Datenschutzexpertise warnen 
Verbraucher*innen vor dem aktuellen 
Angebot von mymuesli. Unter dem Na- 
men „myDNA slim“ bietet das Unterneh- 
men für 189 Euro einen DNA-Test zur Er- 
nährungsoptimierung an. 

Mit den „lebenswichtigen“ Informa- 
tionen sollen Kund*innen ihre „ganz 
persönliche Verstoffwechselung von den 
sogenannten Makronährstoffen (Kohlen- 
hydrate, Fette und Proteine)“ erfahren. 
Verharmlosend ist von einem „Ernäh- 
rungstest” die Rede: „Du möchtest Dich 
in Deinem Körper fit und wohl fühlen? 
Unser DNA-Test kann Dir dabei helfen.” 

Isabelle Bartram, Molekularbiologin 
vom Gen-ethischen Netzwerk: „Hier 
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werden auf einer unseriösen Basis 
hochsensitive Daten erfasst, ohne dass 
das Unternehmen auf die Nebenfolgen 
hinweist. Mymuesli macht auf Öko, 
Bio und Nachhaltigkeit. Tatsächlich 
werden hier unter dem Anschein von 
Wissenschaftlichkeit falsche gesund- 
heitliche Versprechen gemacht - das 
belegen auch die von mymuesli selbst 
zitierten Studien. DNA-Personalisie- 
rung im Konsument*innenbereich ist 
aus fachlicher Sicht nicht sinnvoll und 
aus Gründen des Persönlichkeitsschut- 
zes gefährlich.” 

Thilo Weichert vom Netzwerk Daten- 
schutzexpertise ergänzt: „Gentests 
liefern brisante Daten. Sie enthalten 
Anhaltspunkte für Erkrankungsrisi- 


ken und über Verwandschaftsbezie- 
hungen. Das Gendiagnostikgesetz 
sieht bei medizinischen Genanalysen 
Vorkehrungen in Bezug auf Beratung 
und Qualität vor, damit beispielsweise 
das Wissen um ein genetisches Krank- 
heitsrisiko aus einem DNA-Test wis- 
senschaftlich korrekt bewertet und 
erklärt wird. Solche Vorgaben werden 
hier nicht eingehalten. Was genau mit 
den Daten geschieht, bleibt im Dun- 
keln. Solange Vertraulichkeit nicht 
gewährleistet ist, sollten Menschen 
- auch aus Rücksicht auf ihre biologi- 
schen Verwandten - von eigenen DNA- 
Tests Abstand nehmen.” 
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Bild: iStock 


Shu-Ru Wu 


E-Payment in Taiwan 


A. Einleitung 


Eine Statistik des zuständigen Statis- 
tischen Amtes (URERHATER)" zeigt, 
dass der Umsatz des Internethandels 
in Taiwan vom Jahr 2010 bis 2019 von 
10,21 Milliarden auf 20,78 Milliarden 
TWD (ca. von 3 Milliarden auf 6 Milliar- 
den Euro)? gestiegen ist. Die jährliche 
Wachstumsrate beträgt durchschnittlich 
8.2%. Außerdem stieg der Anteil des In- 
ternethandels am Einzelhandel während 
dieses Zeitraums von 3.1% auf 5.2%. 
Daraus ergibt sich, dass Internethandel 
in Taiwan immer beliebter wird. Ob die 
Online-Händler passende Zahlungsmög- 
lichkeiten anbieten, spielt daher eine 
große Rolle. E-Payment ermöglicht die 
Zahlungsabwicklung auf elektronischem 
Wege. Auch im stationären Einzelhandel 
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ist E-Payment möglich. Man kann in Tai- 
wan praktisch ohne Bargeld leben. 

Dieser Artikel zeigt auf, welche Zah- 
lungsarten des E-Payment in Taiwan 
bestehen und wie sie funktionieren. 
Außerdem wird das Gesetz über die 
Kontrolle der Institute für das elektro- 
nische Payment (EF xt HB EEK 
#5) und das Gesetz zur Ausstellung und 
Kontrolle elektronisch aufgeladener 
Wertkarten (EFZERTERMRB]) 
vorgestellt. Darüber hinaus soll dieser 
Artikel ein Gesamtbild des E-Payment in 
Taiwan zeichnen. 


B. Unterschiedliche Arten des E-Pay- 
ment in Taiwan 


E-Payment ist der Oberbegriff für den 
bargeldlosen Zahlungsverkehr, der so- 


wohl beim Internetkauf als auch beim 
Einkaufin stationären Geschäften mög- 
lich ist. In Taiwan kann E-Payment in 
vier Arten eingeteilt werden, nämlich 
das mobile Payment, das elektronische 
Payment, die Zahlung durch Dritte und 
die Zahlung mit elektronisch aufgelade- 
nen Wertkarten. 


1.Das mobile Payment (fT34x4F) 


Das mobile Payment wird als Zah- 
lungsart vor allem von Girokarten- und 
Kreditkartenbesitzern verwendet. In- 
ternational bekannt sind Apple Pay, 
Google Pay’ und Samsung Pay. Beim 
Interneteinkauf wird die Bezahlung 
umgehend erledigt, nachdem man das 
gewünschte mobile Payment gewählt 
hat (beim ersten Mal ist die Eingabe 
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der Daten der Girokarte oder Kreditkar- 
te erforderlich). Sie dauert weniger als 
eine Sekunde. Anstatt die Kreditkarte 
mitzunehmen, kann die Bezahlung über 
geeignete Geräte, etwa Smartphone, 
Tablet-Computer und Smartwatch mit 
einem NFC-Chip® auch in stationären 
Geschäften vorgenommen werden. Für 
das kontaktlose Bezahlen legt man sein 
Smartphone einfach vor das NFC-Lese- 
gerät. Der Bildschirm zeigt keine Da- 
ten der Girokarte oder Kreditkarte des 
Verbrauchers an. Das Bezahlen erfolgt 
über eine verschlüsselte Nummer, die 
nicht auf dem Smartphone gespeichert 
und bei jedem Einkauf automatisch er- 
stellt wird. Der Händler erhält also nicht 
die Daten des Verbrauchers, die so ge- 
schützt werden.’ 

Das mobile Payment funktioniert 
nicht viel anders als die direkte Zahlung 
mit Girokarte oder Kreditkarte. Viele 
Banken in Taiwan haben hierfür ihre ei- 
gene App entwickelt. 


2. Das elektronische Payment 
(EFXI) 


Nach 8 3 Abs. 1 des Gesetzes über die 
Kontrolle der Institute für das elektro- 
nische Payment (im Folgenden: Kon- 
trollgesetz) werden durch die zustän- 
dige Behörde befugte Unternehmen 
verpflichtet, die über das Internet oder 
eine Plattform die Registrierung und 
die Eröffnung eines Kontos ermöglichen 
und die elektronisch das Auslösen und 
den Empfang von Zahlungen anbieten. 
Ihre Haupttätigkeiten sind die Beauf- 
tragung und der Empfang anstelle des 
Zahlenden oder des Empfängers, die 
Abwicklung von Prepaidzahlungen, 
die Überweisung zwischen Konten des 
elektronischen Payments sowie weite- 
re zugelassene Angebote. Für Institute 
oder Unternehmen, die den Betrieb für 
das elektronische Payment leiten, ist 
die Financial Supervisory Commission 
(SEES) zuständig (8 2 des Kontroll- 
gesetzes). 

Elektronisches Payment kann auch 
als mobiles Payment erfolgen. Zusätz- 
liche Services sind die Einzahlung und 
das Überweisen zwischen Konten des 
elektronischen Payments. Beide Verfah- 
ren können im Alltag kombiniert wer- 
den. Nach einer Studie des Market In- 
telligence & Consulting Institute (MIC) 
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waren im Jahr 2019 LINE Pay (22.3%), 
Apple Pay (19.9%), JKOPay (19.7%) 
und Google Pay (9.1%) die beliebtesten 
E-Payments in Taiwan.’ Es gibt weite- 
re E-Payment-Angebote, etwa Garmin 
pay, Taiwan Pay, Pi-Wallet usw. Im Fol- 
genden werden JKOPay und LINE Pay 
vorgestellt, da diese zurzeit in vielen 
Geschäften, Supermärkten und sogar in 
Nachtmärkten'? zum Einsatz kommen. 


A. JKOPay 


Die JKOPay AG ist ein taiwanisches 
Unternehmen, das 2015 gegründet 
wurde und 2018 nach Erhalt der Er- 
laubnis den Betrieb des elektronischen 
Payments aufnahm. Zur Anmeldung’! 
ist es erforderlich, die JKOPay App im 
Smartphone herunterzuladen und das 
eigene JKOPay-Konto mit der Bestäti- 
gung der Handynummer zu eröffnen. 
Das JKOPay-Konto kann entweder mit 
einem Bankkonto oder mit einer Kredit- 
karte verbunden werden. Dafür wird bei 
erstmaliger Verwendung die Nummer 
des Bankkontos oder der Kreditkarte 
eingegeben. Es eignet sich also auch 
für Personen, die keine Kreditkarte be- 
sitzen. In Bezug auf das Zahlungslimit 
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ist entscheidend, ob man alle erforder- 
lichen Informationen ausgefüllt hat. 
Bei vollständiger Ausfüllung liegt das 
Zahlungslimit bei maximal 300.000 TWD 
(ca. 8928,60 Euro) pro Monat, sonst 
wird es auf 30.000 TWD (ca. 892,90 
Euro) beschränkt. 

Für Zahlungen’? werden zwei Mög- 
lichkeiten angeboten: Geschäfte kön- 
nen den Code der Karte auslesen; die 
Bezahlung durch Einscannen erfolgt 
einfach über die Karte. Es ist auch mög- 
lich, dass man seinen QR-Code vor der 
Kasse zum Einscannen zeigt (siehe das 
untere Foto), so dass über die JKOPay- 
App eine Überweisung ausgelöst wird. 
Darüber hinaus bietet JKOPay virtuelles 
Geld, das sog. JKO-Geld (EA), das 
unter bestimmten Bedingungen’? mit 
dem echten Geld vergleichbar ist. Das 
kann ein Grund sein, weshalb JKOPay 
für immer mehr Menschen attraktiv ist. 


B. LINE Pay (LINE Pay Money) * 


Die LINE AG gehört zum südkoreani- 
schen Unternehmen Naver AG und wur- 
de im Mai 2013 in Taiwan als LINE Plus 
AG registriert. Geschäftsfelder sind die 
Onlinekommunikation und das elek- 
tronische Payment. Das allbekannte 
LINE war anfangs eine reine Kommuni- 
kations-App”° und wurde im Jahr 2014 
als LINE Pay um eine mobile Payment- 
funktion erweitert. Im Paymentbereich 
startete die LINE AG im September 2018 
eine Kooperation mit der iPass AG und 
dem neuen sog. LINE Pay Money. 

Zur Anmeldung des LINE Pay öffnet 
man die LINE App und klickt auf LINE 
Pay. Das LINE Pay Konto muss mit der 
Kredit- oder Girokarte des Nutzers ver- 
bunden werden. Für die Personen, die 
keine Kredit- oder Girokarte haben, kann 
das LINE Pay-Money-Konto nach der Be- 
stätigung der Handynummer und des 
Personalausweises eröffnet und genutzt 
werden. Wie JKOPay erfolgt das Bezah- 
len über LINE Pay durch Vorzeigen oder 
Einscannen des QR-Codes im Geschäft.'° 
Anders als JKOPay gibt es bei LINE Pay 
weitere Funktionen, z.B. die Aufteilung 
einer Rechnung’ oder die automatische 
Anzeige der kooperierenden Geschäfte in 
der unmittelbaren Umgebung des Han- 
dyinhabers mittels GPS-Daten. 

Der Nutzer von LINE Pay kann auch 
virtuelles Geld, den sog. LINE Point, ein- 
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setzen. LINE Point ist für das Einkaufen 
oder die Bezahlung von Rechnungen 
für Strom, Wasser, Internet oder Handy 
nutzbar. LINE Pay kommt inzwischen 
nicht nur in Taiwan, sondern auch in 
Korea, Japan und Thailand zum Einsatz. 
Voraussichtlich noch im Jahr 2020 wird 
das grenzüberschreitende Zahlen für 
Touristen aus Korea, Japan und Thai- 
land möglich sein, so dass diese bei Ein- 
käufen in Taiwan keine Währung mehr 
tauschen müssen. 


3. Zahlung durch Dritte 
(SBEARIF) 


Das Zahlen durch Dritte dient der Er- 
höhung der Einkaufssicherheit. Beim 
Einkauf im Internet kennt der Verbrau- 
cher den Verkäufer zumeist nicht. Zur 
Vermeidung der Nichtleistung oder 
nicht vertragsgemäßer Leistung wird 
ein Unternehmen als Dritter eingeschal- 
tet, der das Geld des Verbrauchers auf- 
bewahrt und dem Käufer das Geld erst 
übergibt, nachdem der Verbraucher die 
bestellten Waren erhalten und nicht be- 
anstandet hat. BeiZahlung durch Dritte 
ist PayPal’? international das bekann- 
teste Unternehmen. Die meisten Unter- 
nehmen in Taiwan bieten nicht nur die 
Zahlung durch Dritte an, sondern nach 
Erhalt der behördlichen Erlaubnis auch 
das elektronische Payment. 

Nach 8 3 Abs. 1 des Kontrollgesetzes 
sind die Institute für das elektronische 
Payment ausgeschlossen, wenn sie aus- 
schließlich die Tätigkeit des & 3 Abs. 1 
Nr. 1 übernehmen, also die Übernah- 
me von Bezahlung und Empfang von 
Geld für Käufer und Verkäufer als Drit- 
ter. Während der Financial Supervisory 
Commission die zuständige Behörde für 
die Institute für das elektronische Pay- 
ment ist, werden Unternehmen für die 
Tätigkeit der Zahlung durch Dritte vom 
Wirtschaftsministerium kontrolliert. 
Zur Kontrolle dieser Unternehmen hat 
das Wirtschaftsministerium Allgemeine 
Geschäftsbedingungen für die Zahlung 
durch Dritte beschlossen, die unver- 
zichtbare Vertragsbedingungen sind. 


4. Die elektronisch aufgeladene 
Wertkarte (EF38) 


Das Gesetz zur Ausstellung und Kon- 
trolle elektronisch aufgeladener Wert- 
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karten (im Folgenden: Ausstellungsge- 
setz) ist die Rechtsquelle des Services 
für elektronisch aufgeladene Wertkar- 
ten. Nach 8 3 Nr. 1 dieses Gesetzes sind 
elektronisch aufgeladene Wertkarten 
für mehrere Zahlungszwecke verwen- 
dete Karten, die in Form eines IC-Chips, 
eines Zertifikats oder in anderer Form 
ein Schuldverhältnis nachweisen, und 
in denen der Geldwert in elektronischer, 
magnetischer oder optischer Weise ge- 
speichert wird. In Taiwan werden sie 
vor allem für öffentliche Verkehrsmittel 
und den Kauf von Speisen und Geträn- 
ken verwendet, z.B. mit der EASY Card 
(MSAE-R), dem iPass (—3#) oder der 
Starbucks Card (ERRBEITH). Die 
elektronisch aufgeladene Wertkarte 
funktioniert als elektronischer Geld- 
beutel. Für den Service der elektronisch 
aufgeladenen Wertkarte ist die Finan- 
cial Supervisory Commission zuständig 
(8 2 des Ausstellungsgesetzes). 


FR 
IS 


Wer in Taipeh mit der Metro, Bus oder 
Zug fahren möchte, kann mit der EASY 
Card das Ticket bezahlen, in Kaohsi- 
ung’ mit dem iPass. Vor der Zahlung ist 
daraufzu achten, dass Geld auf die Karte 
geladen wurde. iPass bietet seit der Ko- 
operation mit der LINE AG im Jahr 2018 
zudem den Service für das elektronische 
Payment an. Die EASY Card AG will dem 
folgen; sie hat bereits im Jahr 2019 die 
Erlaubnis für das elektronische Payment 
erhalten und angekündigt, Ende März 
2020 den Service für das elektronische 
Payment zu starten. 


C. Die geltenden Gesetze und die 
Diskussion über E-Payment 


E-Payment wird in Taiwan immer be- 
liebter. Es ist praktisch und macht den 
Alltag im Zahlungsverkehr bequemer. 
Trotzdem stehen einige Fragen zur Dis- 
kussion: 

1. Zunächst der Datenschutz: Eine Um- 
frage des MIC über E-Payment vom 
Jahr 2017 hatergeben, dass80,2 % der 
Verbraucher bereit sind, E-Payment 
zu benutzen. Allerdings äußerten 
auch 82,3 % der Befragten Bedenken 
wegen der Sicherheit.?° Dabei geht es 
um die Zahlungssicherheit sowie um 
den Schutz der Nutzerdaten etwa bei 
Verlust der Geräte (z. B. Smartpho- 
nes). Die Financial Supervisory Com- 
mission als zuständige Behörde hat 
gemäß & 29 II des Kontrollgesetzes 
den Standard des Informationssys- 
tems und der Sicherheitskontrolle für 
Institute des elektronischen Payment 

EFRNRKBEATARBERZ 

ZSREFFHREINA)" festgelegt. 

Dieser Standard umfasst zahlreiche 

technische Anforderungen, wie etwa 

die Verfahren zur Registrierung, 
die Verfahren zur Bestätigung des 

Nutzers beim Einloggen und die Re- 

gelung über Einstellung der Schlüs- 

selwörter. Stellen die Unternehmen 
den Verbrauchern eine dem Standard 
nicht entsprechende Betriebsumge- 
bung zur Verfügung, so können sie 

wegen eines Verstoßes gegen $ 29 II 

des Kontrollgesetzes zur Zahlung 

eines Zwangsgeldes in Höhe von 

600.000 bis zu 3 Millionen TWD (ca. 

von 17.857 bis zu 89.285 Euro) ver- 

pflichtet werden. 

Sicherheit ist nicht nur die Angele- 

genheit der Unternehmen oder An- 

bieter des Services, sondern fordert 
auch die Kooperation der Nutzer des 

E-Payment. Risiken können redu- 

ziert werden, indem die Nutzer eine 

Displaysperre auf ihrem Smartphone 

oder sonstigen Gerät einrichten und 

dieses sorgfältig aufbewahren. Die 

Passwörter müssen häufig verändert 

werden. Außerdem ist zu vermeiden, 

dass unbekannte Apps heruntergela- 
den werden; nicht verwendete Apps 
sind zu deinstallieren. 

2.Zudem ist Geldwäsche ein Thema. 
Zwar sind die Unternehmen keine 
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Banken, doch führen auch sie Über- 
weisungen aus. Dies macht es not- 
wendig, bei Eröffnung des Kontos des 
elektronischen Payments die Identität 
des Nutzers durch Handynummer und 
Nummer des Personalausweises zu be- 
stätigen. Zudem besteht die Gefahr, 
dass Angestellte der Unternehmen 
mit Zugang zu den Kundendaten die- 
se an Werbeträger oder andere Firmen 
verkaufen. Auch die unbefugte Wei- 
tergabe an Kreditprüfungsunterneh- 
men ist ein Risiko. Zur Vermeidung 
von Betrug und Untreue wird von den 
Unternehmen ein internes Kontroll- 
system gefordert (compliance). 

3.Die Politik sollte für eine Vereinheit- 
lichung des elektronischen Payments 
sorgen. Die Überweisung zwischen 
den Konten verschiedener Banken 
ist kostenpflichtig problemlos mög- 
lich. Allerdings nicht machbar ist es, 
dass z.B. ein Nutzer des JKO Pay eine 
Überweisung auf ein LINE Pay-Konto 
vornimmt. Mit einer Vereinheitli- 
chung des elektronischen Payments 
soll künftig das Überweisen zwischen 
Konten verschiedener Anbieter mög- 
lich sein; zugleich steht die Verein- 
heitlichung des Kontrollgesetzes und 
des Ausstellungsgesetzes auf der 
Agenda.” 


D. Fazit 


Bargeldlose Bezahlung ist seit dem 
Jahr 2015 eines der Hauptziele der Fi- 
nancial Supervisory Commission. E-Pay- 
ment soll als praktische Zahlungsart den 
Binnenmarkt beleben und es Touristen 
weltweit erleichtern, nach Taiwan zu 
kommen und hier zu reisen. 

Laut der Statistik der Financial Su- 
pervisory Commission? beträgt bis 
zum Ende Januar 2020 die Zahl der 
Nutzer des elektronischen Payments 
7,26 Millionen. Gegenüber Dezem- 
ber des Jahres 2019 ist diese Zahl um 
340.000 gestiegen. Es wurden 12,76 
Millionen elektronisch aufladbare 
Wertkarten benutzt. Im Vergleich zum 
Dezember des Jahres 2019 ist dies eine 
Zunahme um 1,46 Millionen. Eine wei- 
tere Zunahme ist zu erwarten. Damit 
ersetzt E-Payment das Bargeld nicht 
und bietet in Taiwan hierzu eine Zah- 
lungsalternative. 
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Die Statistik 2: Der Einzelhandelsumsatz 
(R2: FERSHER), siehe: https:// 
www.moea.gov.tw/Mns/dos/ 
bulletin/Bulletin.aspx?kind=8&html 
=1&menu_id=6727&bull_id=6744, 
Stand: 15.3.2020. 


TWD ist die Abküzung des Taiwan- 
Dollars. Der Wechselkurs des Euro in 
TWD beträgt ca. 1 zu 33,6. https:// 
www.umrechner-euro.de/umrechnung- 
taiwan-dollar, Stand: 15.3.2020. 


The Act Governing Electronic Payment 
Institutions abrufbar unter: 
https://law.moj.gov.tw/ENG/LawClass/ 
LawAll.aspx?pcode=60380237, 

Stand: 15.3.2020. 


The Act Governing Issuance of Electro- 
nic Stored Value Cards abrufbar unter: 
https://law.moj.gov.tw/ENG/LawClass/ 
LawAll.aspx?pcode=G60380207, Stand: 
30.3.2020. 


Die Vorstellung von Google Payin 
Deutschland ist abrufbar unter: https:// 
pay.google.com/intl/de_de/about/ 


NFC ist die Abkürzung für Nahfeldkom- 
munikation. Sie ist eine technische 
Methode für die Datenübertragung und 
der NFC-Chip dient dem kontaktlosen 
Datenaustausch auf kurzer Distanz. 


Der Film: Wie bezahle ich mit Google Pay 
in Geschäften? 
https://www.youtube.com/ 
watch?v=069mkycAQKQ&feature=emb_ 
logo, Stand: 15.3.2020. 


Die Financial Supervisory Commission 
(abgekürzt FSC) unterliegt dem Execu- 
tive Yuan ({TIEX[&t). Der Executive Yuan 
ist die höchste Behörde für Verwaltung 
Taiwans. Nach 8 2 Organisationsgesetz 
des Financial Supervisory Commission ist 
FSC die zuständige Behörde für die Ent- 
wicklung, Überwachung, Regulierung 
und Kontrolle der Finanzmärkten und 
der Finanzdienstleistungsunternehmen. 
Die englische Version des Organisati- 
onsgesetzes des Financial Supervisory 
Commission ist abrufbar unter: 
https://law.moj.gov.tw/ENG/LawClass/ 
LawAll.aspx?pcode=G60300035, 

Stand: 29.3.2020. 


Studie über Verbraucher des E-Payment 
(TERNAHE): 
https://mic.iil.org.tw/news. 
aspx?id=551, Stand: 22. 3. 2020. 


10 Nachtmärkte sind Teil der taiwanischen 


Kultur, in denen viele Stände verschie- 
dene Speise und Getränke anbieten, 
ebenso Schmuck, Kleidung und interes- 
sante Dinge zu günstigen Preisen. Von 
Nord- bis Südtaiwan gibt es zahlreiche 
Nachtmärkte; bekannt und in Reisefüh- 
rer zu finden sind z.B. Shida-Nachtmarkt 
(ER ARZT), Shilin-Nachtmarkt (EM 
T5), Raohe-Nachtmarkt (BEARTR). 


11 Die Vorstellung über die Anmeldung 
bei JKOPay, https://www.jkopay.com/ 
instructions/register.html, Stand: 
17.3.2020. 


12 Die Vorstellung über die Bezahlung per 
JKOPay, https://www.jkopay.com/ 
instructions/pay.html, Stand: 28.3.2020. 


13 Ein JKO Geld ist gleich ein TWD. Bei Ein- 
käufen kann man mit JKO Geld maximal 
30% TWD eintauschen. 


14 Webseite von LINE Pay, https://pay. 
line.me/portal/global/main, Stand: 
15.3.2020. 


15 LINE als ein Kommunikationsmittel wird 
für Kontakte mit Freunden, Familien, 
aber auch in der Arbeitswelt verwendet. 
Es wird diskutiert, ob der Arbeitgeber 
nach der Arbeit Arbeitnehmer über LINE 
zu Tätigkeiten verpflichten kann. 


16 Die Vorstellung über die Bezahlung per 
LINE Pay, https://pay.line.me/portal/ 
global/business/payment-service, 
Stand: 28.3.2020. 


17 Beim Treffen mit Freunden bezahlt man 
normalerweise getrennt in Taiwan; 
wegen der Probleme beim Aufteilen der 
Rechnung kann so eine Lösung gefunden 
werden. 


18 Webseite von PayPal, https://www. 
paypal.com/de/webapps/mpp/personal, 
Stand: 28.3.2020. 


19 Kaohsiung ist eine der größten Städte 
Taiwans und liegt in Südtaiwan. 


20 Die Untersuchung der Verbraucher 
für das E-Payment (THREE 
HA), https://mic.ii.org.tw/news. 
aspx?id=457, Stand: 9.4.2020. 


21 Regulations Governing the Standards 
for Information System and Security 
Management of Electronic Payment Insti- 
tutions abrufbar unter: 
https://law.moj.gov.tw/ENG/LawClass/ 
LawAll.aspx?pcode=60380243, Stand: 
1.4.2020. 


22 Entnommen der Zeitung Anue: Das 
Nichtzustandekommen der Gesetzver- 
einheitlichung AEEFXNAEE 
+), https://news.cnyes.com/news/ 
id/4404482, Stand: 1. 4.2020. 


23 Die Statistiken über der Informationen 
der Kredit- und Geldkarte, der elektro- 
nisch aufgeladenen Wertkarte und des 
elektronischen Payment (1091 A14f3 
AR HER EFRERETFRN 
WS SeT Ball) , siehe: 
https://www.fsc.gov.tw/ch/home.jsp 
?id=96&parentpath=0,2&: mcustomize= 
news_view.jsp&dataserno=202003050 
003&toolsflag=Y&dtable=News, Stand: 
1.4.2020. 
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Datenschutznachrichten 


Datenschutznachrichten aus Deutschland 


Bund 


Kontodatenabfragen 
steigen weiter 


Staatliche Stellen, also Behörden und 
Gerichtsvollzieher, machen weiter sehr 
rege von ihrer Befugnis Gebrauch, Kon- 
todaten, also Stammdaten von Konten- 
inhabern, bei Banken und Sparkassen 
abzufragen. Im Jahr 2019 haben gemäß 
einer Mitteilung des Bundesfinanzmi- 
nisteriums Ämter und Gerichtsvollzie- 
her in 915.257 Fällen Einsicht bean- 
tragt. Das ist ein Plus von knapp 15% 
gegenüber dem Vorjahr. Die Zahl der 
Kontendatenabfragen ist insbesondere 
seit 2013 stetig angestiegen. Nutzten 
die berechtigten Institutionen das Inst- 
rument 2012 noch 72.000 Mal, waren es 
2017 schon 692.000 Anträge. 

Der Bundesdatenschutzbeauftragte 
Ulrich Kelber sieht die jährlich rasant 
steigende Nachfrage kritisch: „Jeder 
Kontenabruf stellt einen Eingriff in das 
Grundrecht auf informationelle Selbst- 
bestimmung dar.” Er bezweifelt, dass 
das Werkzeug angesichts der regelmä- 
ßigen Steigerungen noch verhältnis- 
mäßig eingesetzt wird, und fordert die 
Bundesregierung nachdrücklich auf, 
das Verfahren zu evaluieren. Er erinner- 
te daran, dass der Gesetzgeber den au- 
tomatisierten Abruf von Kontoinforma- 
tionen als Folge der Terroranschläge von 
2001 eingeführt habe, um Geldwäsche 
und Terrorismusfinanzierung besser 
bekämpfen zu können. Zunächst durfte 
nur die Bundesanstalt für Finanzdienst- 
leistungsaufsicht (BaFin) Kontenabfra- 
gen für die Sicherheitsbehörden durch- 
führen. Seit 2005 darf das Bundeszent- 
ralamt für Steuern (BZSt) Einsicht bean- 
tragen, 2013 kamen Gerichtsvollzieher 
hinzu und 2017 Verwaltungen, die etwa 
Ausbildungsförderung oder Wohngeld 
genehmigen. 

Für Kelber ist damit aus einem Instru- 
ment zur Bekämpfung von Geldwäsche 
und Terrorismusfinanzierung ein Voll- 
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streckungshilfsmittel geworden. An- 
gesichts des damit verknüpften Grund- 
rechtseingriffs müssten Gesetzgeber 
und Behörden aber „allestun, um dieses 
Instrument maßvoll einzusetzen“. Es 
dürfe etwa nicht zu Personenverwechs- 
lungen kommen, „weil Schuldner und 
vermeintlicher Schuldner zufällig den- 
selben Namen tragen”. Solche Fehler 
verletzten den datenschutzrechtlichen 
Grundsatz der Integrität und Vertrau- 
lichkeit und seien für die Betroffenen 
nicht hinnehmbar. Er begrüßt es zwar, 
dass der Bundestag mit dem Steuer- 
umgehungsbekämpfungsgesetz beim 
Schutz von Kontendaten etwas nach- 
gebessert habe. Es bleibe aber abzuwar- 
ten, ob diese Korrekturen „tatsächlich 
greifen”. Kelbers Vorgängerin Andrea 
Voßhoff hatte 2018 ebenfalls bereits 
konstatiert, dass das Werkzeug schlei- 
chend ausgeweitet worden sei und da- 
her dringend überprüft werden müsse. 
Fehler könnten im Einzelfall äußerst 
unangenehme Folgen wie Kontensper- 
rungen nach sich ziehen (vgl. z.B. 
DANA 2014, 26, 76; Krempl, Gläserner 
Bankkunde: Kontenabfragen erreichen 
neuen Höchststand, www.heise.de 
30.01.2020, Kurzlink: https://heise. 
de/-4649686). 


Bund 


CCC-Experten enttarnen 
FinFisher-Uberwachungs- 
software 


In einem auf dem 36. Chaos Commu- 
nication Congress (36C3) in Leipzig ver- 
öffentlichten Bericht haben Experten 
des Chaos Computer Clubs (CCC) im Auf- 
trag der Gesellschaft für Freiheitsrech- 
te (GFF) mehrere Trojaner-Samples der 
deutschen Firma FinFisher von 2012 bis 
2019 eingehend untersucht und nach- 
gewiesen, dass der mutmaßlich von der 
türkischen Regierung gegen Oppositio- 
nelle eingesetzte Android-Trojaner von 


der Münchner Firma Gamma Internati- 
onal/FinFisher stammt. Außerdem se- 
hen sie es als erwiesen an, dass das von 
ihnen untersuchte Schadcode-Sample 
nach dem 18.07.2015 erstellt wurde. 
Darin läge ein Verstoß gegen & 18 
Außenwirtschaftsgesetz (AWG), wenn 
Berichte der Bundesregierung vom Juli 
2019 zutreffen, dass für Staatstrojaner 
bisher keine entsprechenden Genehmi- 
gungen erteilt wurden. Dies hätte wie- 
derum zu Folge, dass den zuständigen 
FinFisher-Mitarbeitern eine Freiheits- 
strafe von bis zu fünf Jahren droht. 
Netzpolitik.org, die GFF, Reporter ohne 
Grenzen und das European Center for 
Constitutional and Human Rights haben 
deshalb Strafanzeige beim zuständigen 
Zollkriminalamt gestellt. Das Schadpro- 
gramm wurde gegen Mitglieder der tür- 
kischen Opposition eingesetzt. 
Thorsten Schröder und Linus Neu- 
mann vom CCC haben Ähnlichkeiten zu 
veröffentlichten Schadcode-Samples 
aufgezeigt, die bekanntermaßen der 
Münchner Firma zuzuordnen sind. Als 
Vergleichsmaterial diente ihnen für ih- 
ren Bericht das Material, das bei einem 
Systemhack von FinFisher im Jahr 2014 
öffentlich wurde. Dabei veröffentlichte 
Schadcode-Samples stammen erwie- 
senermaßen von den Entwicklern der 
Münchener Firma und konnten nun mit 
dem Schadcode-Sample namens adalet 
verglichen werden, das von der Webseite 
adaleticinyuru.com stammt, welche ge- 
mäß der GFF-Strafanzeige türkische Op- 
positionelle dazu verleiten sollte, die- 
sen Schadcode zu installieren. Schröder 
und Neumann sehen es als erwiesen 
an, dass die Ähnlichkeiten der aus dem 
FinFisher-Leak stammenden Samples 
und dem adalet-Sample nicht zufäl- 
lig sind und dass adalet somit von den 
FinFisher-Entwicklern stammt und eine 
Weiterentwicklung des FinSpy-Android- 
Trojaners ist. Insgesamt untersuchten 
sie 28 Schadcode-Samples, die alle von 
der Münchener Firma stammen sollen 
und nach Ansicht der CCC-Experten eine 


DANA ® Datenschutz Nachrichten 2/2020 


Entwicklung der Spionage-Software des 
Herstellers von 2012 bis 2019 aufzeigen. 
Obwohl die CCC-Experten in ihrer Ana- 
lyse nach dem Hack bei FinFisher und 
dem daraus resultierenden Datenleck 
im Jahr 2014 Bemühungen der Münche- 
ner Firma feststellen, ihren Quellcode 
zu refaktorisieren und mittels Obfusca- 
tion unkenntlich zu machen, blieben 
wichtige Eigenschaften der FinSpy-Tro- 
janer-Familie auch danach funktionell 
erhalten. Anti-Viren-Hersteller hatten 
nach dem Datenleck bei FinFisher ihre 
Erkennungsroutinen an den Schadcode 
angepasst, um ihn und ähnliche Codes 
entdecken zu können. Die Münchener 
Entwickler änderten danach ihre Soft- 
ware dann wohl, um der Entdeckung 
ihres Trojaners durch AV-Programme 
wieder zu entgehen. Allerdings konnten 
sie ihren Code nicht allzu sehr funkti- 
onal ändern, ohne große Teile davon 
neu zu entwickeln. Entsprechend sind 
die Trojaner-Sample vor und nach 2014 
trotz äußerlicher Änderungen funkti- 
onal sehr ähnlich. Das wird besonders 
deutlich, wenn man die logischen Ab- 
läufe der zu vergleichenden Samples mit 
einem Code-Flow-Diagramm kartiert. 

Laut dem Bericht der CCC-Experten 
enthalten die untersuchten Samples 
allesamt einen weitgehend funktionell 
seit 2012 unverändert gebliebenen Me- 
chanismus, um den Trojaner für seinen 
Einsatz zu provisionieren, also um eine 
auf den jeweiligen Kunden der Firma 
Finfisher angepasste Konfiguration 
auszurollen. Auf diese Weise wird der 
Trojaner für eine konkrete Spionage- 
Mission vorbereitet. Um diese Konfigu- 
rationsdaten möglichst unauffällig zu 
halten, nutzen die FinFisher-Entwickler 
einen verdeckten Kanal, indem sie ihre 
Konfigurations-Parameter in Dateiattri- 
buten des Android-Paketformates APK 
versteckten. 

APK-Dateien sind im Grunde .ZIP-Ar- 
chive und sehen laut ihrer Spezifikation 
für jede in dem Archiv enthaltene Datei 
bestimmte Felder vor, in die Dateiattri- 
bute kodiert werden; dabei handelt es 
sich um Metadaten zu der jeweiligen 
Datei. APK-Archive können auch leere 
Dateien enthalten und auch für diese 
sind Dateiattribute gespeichert. Laut 
Schröder und Neumann entwickelte Fin- 
Fisher für die FinSpy-Trojaner-Familie 
eine Kodierung, die zum Provisioning 
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des Trojaners benötigte Daten als solche 
Metadaten im APK enthaltener Dateien 
hinterlegt. Spezieller Code der Software, 
offensichtlich eine proprietäre Entwick- 
lung der Münchener, liest diese Metada- 
ten aus und dekodiert sie als Konfigu- 
rationsinformationen für den Trojaner. 
Dieser Kodierungsmechanismus wurde 
augenscheinlich kontinuierlich weiter- 
entwickelt, ist im Grunde aber bei al- 
len untersuchten Samples vorhanden. 
Im Rahmen der Veröffentlichung ihres 
Untersuchungsberichtes stellen die 
Autoren neben den analysierten Sam- 
ples auch die von ihnen entwickelten 
Software-Werkzeuge bereit, mit denen 
sich aus den vorhandenen Samples die 
Konfigurationsdaten auslesen lassen. 

In den im Bericht vollständig abgebil- 
deten Konfiqurations-Daten aller unter- 
suchter Samples finden sich unter ande- 
rem verschiedene Subdomains der Do- 
main gamma-international.de, deutsche 
Handy-Nummern und eine Münchener 
Festnetznummer. Anscheinend handelt 
es sich hierbei um den Command-and- 
Control-Rückkanal, über den die Soft- 
ware die Ergebnisse ihrer Spionage an 
den Hersteller zurückschickt. Einige der 
Samples wurden mit Telefonnummern 
oder Domains unter anderem in Vietnam 
konfiguriert. Vietnam wurde ebenso wie 
die Bundesregierung in der Vergangen- 
heit immer wieder als Kunde mit FinFis- 
her in Verbindung gebracht. Neben die- 
sen Hinweisen auf die Münchener Firma 
dokumentieren die CCC-Experten auch 
noch weitere Eigenarten des FinSpy- 
Codes, der darauf hindeutet, dass hier 
deutsche Entwickler am Werk waren. 

In den Konfigurationsdaten sind Tro- 
janer-Funktionen wie „Spy Call”, „Call 
Interception“, „Tracking“ und „Pho- 
ne Logs” erwähnt, die über Parameter 
an- und abgeschaltet werden können. 
Weitere Parameter scheinen zu steuern, 
wie viele Geräte der Trojaner maximal 
infizieren darf und unter welchen Be- 
dingungen die Konfigurationsdaten des 
Trojaners zu löschen sind. Ein Trojaner- 
Sample enthält darüber hinaus weitere 
externe Dateien, die wohl die Privile- 
ge-Escalation-Schwachstelle für den 
Linux-Kernel DirtyCow ausnutzen sol- 
len und Android-Smartphones darüber 
hinaus mit dem Software-Tool SuperSU 
rooten können. Diese FinSpy-Variante 
ist anscheinend dafür gedacht, weitere 


Schadsoftware auf dem betroffenen Ge- 
rät zu platzieren. 

Schröder und Neumann sehen es mit 
an Sicherheit grenzender Wahrschein- 
lichkeit als erwiesen an, dass das aus 
der Türkei stammende adalet-Sample 
von denselben Entwicklern wie be- 
kannte FinSpy-Samples stammt. Im 
nächsten Schritt ging es ihnen darum, 
zu beweisen, dass der Schadcode nach 
dem 18.07.2015 erstellt wurde. Das 
schließen sie vor allem aus der in dem 
besagten Trojaner-Sample verwendeten 
Version der Datenbank-Software SQLite. 
Die der Software beiliegende SQLite- 
Bibliothek ist die Version 3.13.0, die 
am 18.05.2016 veröffentlicht wurde. 
Außerdem wurde die adalet-APK mit 
einem Zertifikat signiert, das ab dem 
10.10.2016 gültig ist. Kompiliert wur- 
den Teile des Codes augenscheinlich 
am 23.09.2016. Es kann also davon 
ausgegangen werden, dass dieses Sam- 
ple nach dem 18.05.2016 fertig gestellt 
wurde und erstnach dem 10.10. des sel- 
ben Jahres zum Einsatz kam. 

Der von den CCC-Experten nach eige- 
nen Angaben ehrenamtlich angefertigte 
Bericht ist unter dem Titel „Evolution 
einer privatwirtschaftlichen Schad- 
software für Staatliche Akteure” veröf- 
fentlicht. Die Analyse, alle darin unter- 
suchten Software-Samples und die zum 
Auslesen der Trojaner-Konfiguration 
entwickelten Tools stehen auf GitHub 
zur Verfügung. Interessierte Mitglie- 
der der IT-Security-Gemeinde werden 
so ausdrücklich dazu aufgefordert, die 
veröffentlichten Forschungsergebnisse 
zu prüfen (Scherschel, 36C3: Spionage- 
Trojaner FinFisher - CCC weist rechts- 
widrigen Export nach, www.heise.de 
28.12.2019, Kurzlink: https://heise. 
de/-4624098). 


Bund 


„Stiftung Datenschutz” 
vor dem Aus 


Die Stiftung Datenschutz mit Sitz in 
Leipzig steht finanziell als Spielball der 
Bundestagsfraktionen CDU/CSU, SPD 
und FDP vor dem Aus. Sie versteht sich 
als Bindeglied zwischen Bußgeldbe- 
hörden und Unternehmen, so Frederik 
Richter, der Leiter der Stiftung: „Was uns 
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auszeichnet, ist Äquidistanz zwischen 
Aufsicht und Wirtschaft, das kann eine 
Aufsicht nicht machen“. Wenn die Stif- 
tung kein Geld mehr erhält, brechen die 
rot-schwarzen Regierungsparteien ein 
Versprechen ihres Koalitionsvertrags: 
„Wir wollen die Arbeit der Stiftung Da- 
tenschutz fördern.” Der Stiftung geht 
jetzt das Geld aus. Richter hat zum 
zweiten Mal bei der Aufsicht beantragt, 
auf das Stiftungsvermögen zugreifen 
zu können, da die eigenen Einnahmen 
nicht ausreichen, und er hat die Ge- 
nehmigung zur Überraschung mancher 
wenig wohlwollender Beobachter auch 
erhalten. Ihm bleiben gerade einmal 
80.000 Euro für die Arbeit. Das sächsi- 
sche Recht sieht diese Möglichkeit für 
im Land angesiedelte Stiftungen vor. 
Doch der vom Bundesinnenministeri- 
um dominierte Verwaltungsrat hat die 
Zustimmung verweigert. Richters Ver- 
trag lief Ende 2019 aus; seitdem führt er 
kommissarisch die Geschäfte. 

Ein Geburtsfehler der im Jahr 2013 ge- 
gründeten Stiftung ist, dass sie damals 
von der sozialliberal eingestellten Justiz- 
ministerin Sabine Leutheusser-Schnar- 
renberger (FDP) gegen den damals für 
Datenschutz zuständigen konservati- 
ven Innenminister Hans-Peter Fried- 
rich (CSU) durchgesetzt wurde. Wegen 
der Dauerverweigerung der FDP bei der 
Telekommunikations-Vorratsdatenspei- 
cherung hatten manche sogar zeitweise 
einen Koalitionsbruch befürchtet. Daran 
erinnere man sich auch im Bundesinnen- 
ministerium noch recht gut, so FDP-Bun- 
destagsabgeordneter Stefan Ruppert: 
„Mir scheinen die Animositäten gegen- 
über der Stiftung noch aus dieser Zeit 
herzurühren.” Die Organisation werde 
dort als „Fremdkörper“ wahrgenommen 
- nicht auf Ebene der Parlamentarischen 
Staatssekretäre, sondern in der Fachab- 
teilung. Diesen Eindruck hört man auch 
aus der Union selbst. Es handele sich um 
ein Versorgungswerk für die „Gelben“, 
zumal der Stiftungsleiter Richter früher 
FDP-Referent war. 

Es scheint wenig zu nützen, dass die 
Stiftung Veranstaltungen zu SPD-The- 
men organisiert, wie die Datenteilungs- 
pflicht, und ihre Arbeit parteiübergrei- 
fend bei Digitalpolitikern gelobt wird. 
Das Bundesinnenministerium will, so 
Ruppert, die Stiftung auch nicht an 
das Justizressort abgeben oder an die 
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Behörde des Bundesdatenschutzbeauf- 
tragten (BfDT) Ulrich Kelber. Kelber wür- 
de die Stiftung zwar gerneübernehmen, 
benötigt dann aber hierfür auch Haus- 
haltsmittel. 

In der SPD will der Haushaltspolitiker 
Johannes Kahrs offenbar den letzten 
Rest gelber Farbe aus dem Wirkbereich 
der Bundesregierung kratzen. Der Stif- 
tung werde „kein Euro gestrichen”, er- 
klärte er auf Medienanfrage am Telefon; 
im Übrigen kenne er sich im Bereich Da- 
tenschutz gar nicht so gut aus. In einem 
Streit mit der Stiftung auf Twitter war 
der Politiker zuvor rabiater und hatte ihr 
„Lügen” vorgeworfen. Tatsächlich war 
es das Innenressort, das in Haushalts- 
entwürfen für die letzten drei Jahre die 
Förderung eingestellt hatte. 

Dennoch spielte Kahrs im Verdeckten 
die entscheidende Rolle. Zunächst hatte 
es gut ausgesehen für die Stiftung: Poli- 
tiker der FDP hatten in der Union dafür 
geworben, die Stiftung im Rahmen der 
Bereinigungssitzung zu fördern und sie 
vor allem nicht abzuwickeln. Denn sogar 
für das formale Ende lag zwischenzeit- 
lich ein Plan auf dem Tisch. Im Rahmen 
des Feilschens in Haushaltssitzungen 
können auch Oppositionsparteien das 
eine oder andere durchsetzen. Nun 
sollte es ein stiller Erfolg der FDP sein, 
die Stiftung vor der Abwicklung zu ret- 
ten und am Leben zu halten. Ersteres 
gelang: Der Maßgabebeschluss zur Ab- 
wicklung verschwand wieder. Zweiteres 
misslang: Obwohl die Förderung auf ei- 
nem Deckblatt festgeschrieben stand, 
verschwand dies wieder. 

Der hessische FDP-Vorsitzende Rup- 
pert, der sein Bundestagsmandat im 
Frühjahr 2020 aufgibt und als Personal- 
vorstand bei B. Braun antritt, berichte- 
te, sein Gesprächspartner auf Unions- 
seite habe ihm zerknirscht mitgeteilt, 
Kahrs wolle eine „Trophäe aus schwarz- 
gelber Zeit”. In der CDU habe man das 
dann hingenommen. Die unterbliebene 
Finanzierung sei „eine der traurigsten 
Erfahrungen, die ich gemacht habe“. 
Er schließt jedoch hoffnungsvoll: „Man 
sollte noch einen neuen Anlauf machen, 
damit das nicht das letzte Wort ist.” 

BfDI Kelber (SPD) ist für die Fortset- 
zung der Stiftungsarbeit: „Ich würde be- 
grüßen, wenn die Stiftung finanziell in 
die Lage versetzt würde, dauerhaft ihre 
Rolle als Dialogplattform erfüllen zu 


können.” Er sieht die in ihren Stellung- 
nahmen durchaus wirtschaftsfreundli- 
chere Stimme im Chor der Datenschüt- 
zer als willkommen an - und nicht als 
Gegenspieler. „Die Stiftung Datenschutz 
und der Bundesbeauftragte für den Da- 
tenschutz und die Informationsfreiheit 
stehen nicht in Konkurrenz zueinander. 
Beide Institutionen arbeiten in unter- 
schiedlichen Aufgabenfeldern, unsere 
Arbeit ergänzt sich.” 

Gemäß dem Stiftungsleiter Richter 
hat das Bundesinnenministerium als 
für den Datenschutz zuständiges Res- 
sort kein großes Interesse mehr an der 
Stiftung. Dabei hatte die Bundesregie- 
rung noch bis vor kurzem stolz auf die 
Stiftung verlinkt: „Wenn die Ministe- 
rialbeamten es in den Beschlussvor- 
schlag geschrieben hätten, wäre die 
Finanzierung dringeblieben. Ich rechne 
mit allem, kämpfe aber bis zum Schluss 
für das Projekt” (Wieduwilt, Stiftung 
Datenschutz vor dem Aus, www.faz.net 
14.01.2020). 


Bundesweit 
Datenleck beim HIS 


Wegen eines Konfigurationsfehlers 
der Hochschul-Informationssysteme 
(HIS) standen persönliche Daten von 
hunderttausenden Studierenden über 
Jahre offen im Netz. Die Systeme der 
HIS Hochschul-Informations-System 
eG werden von zahlreichen deutschen 
Universitäten genutzt. Durch eine feh- 
lerhafte Berechtigungsprüfung war es 
möglich, persönliche Daten hundert- 
tausender Studierender per Browser ab- 
zufragen, darunter Name, Adresse, Ma- 
trikelnummer, Geburtsdatum und Im- 
matrikulationsstatus. Die HIS eG wurde 
nach eigenen Angaben am 06.03.2020 
vom Administrator einer betroffenen 
Hochschule auf die Sicherheitslücke 
hingewiesen. 

Man habe, so das Unternehmen, noch 
am selben Tag einen Workaround an die 
eigenen Kunden kommuniziert und am 
09.03.2020 ein Sicherheitsupdate zur 
Verfügung stellt. Doch nicht alle Uni- 
versitäten spielten das Update der HIS 
eG unverzüglich ein. Bei einer Über- 
prüfung am 12.03.2020 von insgesamt 
58 Hochschulen waren noch mehrere 
anfällige Systeme zu finden. Daten von 
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über 600.000 Studierenden der Univer- 
sitäten in Bonn, Düsseldorf, Hildesheim 
und dem Saarland waren online abruf- 
bar, wofür allein die Kenntnis der URL 
genügte. Die Daten reichten vom Win- 
tersemester 1991/92 bis zum aktuellen 
Sommersemester 2020. Nachdem die 
vier Universitäten hierüber informiert 
worden waren, schlossen auch sie noch 
am selben Tag die Lücke. 

Normalerweise sollten nur bestimmte 
Mitarbeiter der Uni die betroffenen In- 
formationen abfragen können. Durch 
den Fehler erfolgte jedoch keine solche 
Prüfung der Zugangsberechtigung. Laut 
Angaben der HIS eG bestand die Lücke 
seit 2011. Wie viele Universitäten und 
Studierende von der Lücke betroffen 
waren, konnte das Unternehmen auf 
Nachfrage nicht mitteilen: Man habe 
alle potentiell betroffenen Kunden in- 
formiert, aber nicht alle Kunden wür- 
den die fehlerhafte Komponente des 
Systems auch tatsächlich einsetzen. 
Inwieweit Unbefugte während der neun 
Jahre auf die Daten zugegriffen haben, 
ließ sich nach Angaben der HIS eG und 
der kontaktierten Universitäten nicht 
mehr nachvollziehen: Log-Dateien, die 
entsprechende Zugriffe protokollieren, 
reichen üblicherweise nur ein bis vier 
Wochen zurück. Betroffen könnten also 
alle Studierenden jeder Hochschule 
sein, die das System der HIS eG seit 2011 
einsetzt oder eingesetzt hat. 

Die Namen, Adressen und Geburts- 
daten lassen sich zum Identitätsdieb- 
stahl missbrauchen. Über die Matri- 
kelnummern ließen sich auch Noten 
und Beurteilungen zuordnen, die an 
Unis - zumindest früher - oft öffentlich 
aushingen. Ebenso ließe sich über den 
Immatrikulationsstatus unter anderem 
nachvollziehen, wann und bis zu wel- 
chem Semester eine Person an einer Uni 
studiert hat. 

Gemäß der DSGVO müssen die betrof- 
fenen Universitäten die in ihrem Land 
zuständigen Datenschutzbehörden 
umgehend über die Lücke informieren. 
Die von dem Magazin c’t kontaktierten 
Hochschulen gaben an, das unverzüg- 
lich getan zu haben. Als Grund für die 
lange Speicherung von fast 30 Jahren 
teilten sie mit, dies sei zum Nachweis 
von Studien- und Versicherungszeiten 
nötig. Die betroffenen Studierenden 
wären von den Hochschulen direkt zu 
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informieren, wenn von dem Datenleck 
eine „erhebliche Gefahr” ausgeht, wo- 
rüber letztlich die jeweiligen Daten- 
schutzaufsichtsbehörden entscheiden. 
Bußgelder gegenüber den staatlichen 
Hochschulen sind per Gesetz nicht 
vorgesehen. Möglich wären aber Scha- 
denersatzansprüche der Betroffenen. 
Nötig hierfür wäre aber der Nachweis 
eines tatsächlichen Schadens. Die HIS 
eG erklärte, mit jedem Release „um- 
fangreiche Qualitätssicherungsmaß- 
nahmen“ durchzuführen, ergänzt durch 
„regelmäßige Sicherheitsüberprüfun- 
gen durch externe Spezialisten”, was 
offenbar aber hier nicht geholfen hat. 
Die Universitäten müssen sicherstel- 
len, dass sicherheitsrelevante Patches 
künftig umgehend eingespielt werden 
(Tremmel, Datenleck an Hochschulen, 
www.heise.de 17.03.2020, Kurzlink: 
https://heise.de/-4683940). 


Bundesweit 


Datenschutzbedenken 
gegen Glückspiel-Staats- 
vertrag 


Der frühere Bundesdatenschutzbeauf- 
tragte Peter Schaar kritisiert die geplan- 
te Reform des Glücksspielstaatsvertrags 
als unverhältnismäßige „fürsorgliche 
Beobachtung durch den Staat”: „Was als 
Schutz vor der Spielsucht gedacht ist, 
führt zur Totalüberwachung und Bevor- 
mundung.” Die Zielsetzungen, die die 
Länder mit dem Entwurf verfolgten, sei- 
en zwar prinzipiell richtig und nachvoll- 
ziehbar. Es bestünde ein öffentliches 
Interesse, den Gefahren von Spielsucht 
entgegenzuwirken und Geldwäsche zu 
bekämpfen. Doch seien die vorgesehe- 
nen Regeln aus Datenschutzsicht „mehr 
als bedenklich” und mit der Daten- 
schutz-Grundverordnung (DSGVO) nicht 
vereinbar. Die geplante zentrale Spieler- 
datei sei nichts anderes als eine anlass- 
lose zentrale Vorratsdatenspeicherung, 
beklagt Schaar, der Vorsitzender der Eu- 
ropäischen Akademie für Informations- 
freiheit und Datenschutz (EAID) ist. Er 
hat seine Kritik in einem Gutachten für 
den Deutschen Verband für Telekommu- 
nikation und Medien (DVTM), dem viele 
Unternehmen der Glücksspielbranche 
angehören, festgehalten. 


Die Länder hatten im Januar 2020 
nach jahrelangen Verhandlungen über 
die Novelle des Glücksspielmarktes ei- 
nen Durchbruch erzielt. Bisher illegale 
Online-Casinos sollen demnach grund- 
sätzlich erlaubt werden. Im Interesse 
des Spielerschutzes soll aber eine mo- 
natliche Einzahlgrenze von 1.000 € im 
Internet sowie eine zentrale Datei für 
Sperren und zur „Limitüberwachung” 
eingeführt werden. Auch die nordrhein- 
westfälische Datenschutzbeauftragte 
Helga Block äußerte Bedenken wegen 
der hohen „Streubreite” der Maßnah- 
men. Sie kritisiert, dass es laut dem 
Entwurf nicht mehr möglich sein wer- 
de, anonym online zu wetten. Jeder 
Vorgang würde künftig auf einem per- 
sonengebundenen Spielerkonto regist- 
riert. Die Anbieter müssten Daten aller 
Teilnehmer an Sportwetten erheben 
und speichern. Nicht alle davon hätten 
Suchtprobleme. 

Der hessische Innenminister Peter 
Beuth (CDU) warnte ebenso vor einem 
zu großen Überwachungsapparat und 
dem „gläsernen Spieler“. In der Bevöl- 
kerung trifft die ausgemachte Reform 
ebenfalls auf Widerspruch: 60% der 
Bundesbürger halten, so eine repräsen- 
tative Dimap-Umfrage, das Einsatzlimit 
für zu streng. Besonders ablehnend ste- 
hen demnach Anhänger der AfD, derFDP 
und von CDU/CSU mit Quoten zwischen 
74 und 60% dem Vorhaben gegenüber. 
Die 16 Gesellschaften des Deutschen 
Lotto- und Totoblocks (DLTB) begrüß- 
ten die Einigung dagegen. Es gehe da- 
rum, mit den neuen Vorschriften den 
illegalen Markt im Online-Bereich zu- 
rückzudrängen (Krempl, Glücksspiel- 
staatsvertrag: Datenschützer warnt 
vor Totalüberwachung, www.heise.de 
25.02.2020, Kurzlink: https://heise. 
de/-4667792). 


Bayern 
Will folgt Kranig 


Michael Will wurde zum 01.02.2020 
für die Dauer von fünf Jahren zum Präsi- 
denten des Bayerischen Landesamts für 
Datenschutzaufsicht (BayLDA) und da- 
mit zum Nachfolger von Thomas Kranig 
ernannt. 

Will wurde 1968 in Kronach gebo- 
ren und ist Vater eines Kindes. Nach 


117 


dem Studium der Rechtswissenschaft 
in Würzburg und der Referendarzeit in 
Bamberg begann er im Jahr 1995 bei der 
Regierung von Oberfranken in Bayreuth 
seine berufliche Tätigkeit als Verwal- 
tungsjurist in den Diensten des Frei- 
staats Bayern. Nach seinem Wechsel in 
die Oberste Baubehörde im Bayerischen 
Staatsministerium des Innern im Jahr 
1997 und im Jahr 2000 in die Bayeri- 
sche Staatskanzlei übernahm Michael 
Will 2002 die Leitung der Abteilung für 
öffentliche Sicherheit und Ordnung im 
Landratsamt Landshut. Zugleich war 
er in dieser Zeit Geschäftsführer des 
Zweckverbands für Rettungsdienst und 
Feuerwehralarmierung Landshut. 2006 
kehrte er als Referent in das Sachgebiet 
Straßenrecht in die Oberste Baubehörde 
im Bayerischen Staatsministerium des 
Innern zurück. 

2009 wurde Michael Will die Leitung 
des Referats „Datenschutz“ im Bayeri- 
schen Staatsministerium des Innern für 
Sport und Integration übertragen. Er 
übte dort zudem das Amt des behörd- 
lichen Datenschutzbeauftragten aus 
und war Mitglied der Datenschutzkom- 
mission des Bayerischen Landtages. Im 
Auftrag des Bundesrates begleitete erin 
den Jahren 2012 bis 2015 die gesamten 
Beratungen der Ratsarbeitsgruppe Da- 
tenschutz und Informationsaustausch 
(DAPIX) zur EU Datenschutz-Grundver- 
ordnung (DSGVO) und nahm außerdem 
die Aufgaben des Länderbeobachters im 
Ausschuss nach Art. 93 der DSGVO wahr, 
der z.B. beim Erlass von Adäquanzent- 
scheidungen der Europäischen Kommis- 
sion beteiligt wird (https://www.lda. 
bayern.de/de/praesident.html). 


Brandenburg 


Datensicherheitslücke 
beim Roten Kreuz 


Daten zu mehr als hunderttausend 
Einsatzfahrten und mehr als 30.000 
Patientinnen und Patienten des Deut- 
schen Roten Kreuzes (DRK) in Branden- 
burg sind offenbar jahrelang auf einem 
schlecht gesicherten Server leicht zu- 
gänglich gewesen, darunter auch sen- 
sible Gesundheitsinformationen aus 
Aufzeichnungen des DRK-Kreisverbands 
Märkisch-Oder-Havel-Spree, zu dem 
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Orte wie Eisenhüttenstadt, Frankfurt 
(Oder), Oranienburg und Fürstenwal- 
de gehören. Kriminelle Hacker hätten 
problemlos auf die Daten zugreifen und 
sie sogar manipulieren können. Daten 
konnten eingesehen werden, die bis 
ins Jahr 2008 zurückreichen. Enthalten 
sind in etlichen Fällen sensible Patien- 
teninformationen, die Rückschlüsse auf 
den Gesundheitszustand der Betroffe- 
nen ermöglichen, etwa ob der Patient 
im Rollstuhl sitzt, an einer Viruserkran- 
kung leidet oder ob es sich bei der Fahrt 
um eine Einweisung in eine psychiat- 
rische Klinik handelt. Hinzu kommen 
personenbezogene Informationen wie 
Namen, Adressen, Geburtsdaten und 
Krankenkasse der Patienten. Auch per- 
sonenbezogene Daten von Teilnehmern 
von Erste-Hilfe-Kursen waren abrufbar. 
Das Einfallstor war eine Sicherheitslü- 
cke auf den Webseiten mehrerer DRK- 
Kreisverbände in Brandenburg. 

Bereits im November 2019 hatte sich 
ein 18-jähriger Hacker bei einem der be- 
troffenen DRK-Kreisverbände gemeldet. 
Dass die DRK-Seiten angreifbar waren, 
erfuhr er durch eine präzise Google- 
Suche. Über die Schwachstelle konnte 
er an Passwörter für Administratoren 
gelangen, die besonders weitreichende 
Befugnisse haben. Damit hätte er the- 
oretisch Daten mehrerer DRK-Kreisver- 
bände verändern können. Er wies den 
Kreisverband auf die Schwachstelle 
hin. Doch anstatt die Sicherheitslücke 
komplett zu beseitigen, wurde nur der 
Zugang zu einer der Seiten gesperrt. Da 
man dem Hacker nicht glauben wollte, 
hatte er ein Video seines Vorgehens an- 
gefertigt, gemäß dem er nach 3 Minu- 
ten die Datenbank geknackt hatte. Das 
Problem an sich blieb bestehen, weshalb 
der Hacker Kontakt zu Journalisten 
aufnahm. Noch bis Mitte Januar 2020 
war es möglich, die Schwachstelle aus- 
zunutzen, einer sog. „SQL-Injection“, 
bei der man sich mit unzulässigen An- 
fragen in das SQL-Datenbanksystem 
hineinschmuggelt - eine altbekannte 
Sicherheitslücke. Zudem hatte einer der 
Administratoren ein besonders leicht zu 
erratendes Passwort genutzt und die- 
ses auch auf unterschiedlichen Seiten 
verwendet, auch solchen, die nicht mit 
dem DRK in Verbindung standen. 

Über den Zugriff auf Server und Da- 
tenbank wäre es dem Hacker möglich 


gewesen, auch Krankentransporte in 
Echtzeit zu löschen oder zu manipulie- 
ren. So lässt sich etwa über das Setzen 
eines Häkchens bestimmen, dass Fahrer 
ohne einen Rollstuhl bei einem Patien- 
ten ankommen, auch wenn dieser ei- 
gentlich einen gebraucht hätte, so der 
Hacker: „Das hätte man alles live ma- 
chen können.” 

Ob Kriminelle auf die Daten zuge- 
griffen haben, ist unklar. Die recher- 
chierenden Journalisten fanden Zu- 
gangsdaten des DRK-Administrators auf 
einer türkischsprachigen Webseite für 
Hacker, die bereits im Jahr 2017 veröf- 
fentlicht worden sind. Auch die besagte 
Schwachstelle in der Datenbankanfrage 
findet Erwähnung. 

Das Deutsche Rote Kreuz teilt mit, 
man bedauere die Schwachstelle sehr. 
Man nehme den Vorfall „sehr ernst” 
und habe deutliche Konsequenzen ge- 
zogen, heißt es in einer gemeinsamen 
Erklärung des DRK-Generalsekretariats 
und des Landesverbands Brandenburg. 
Alle entsprechenden Webseiten seien 
unverzüglich abgeschaltet worden und 
man habe eine umfassende externe Prü- 
fung der IT-Sicherheit veranlasst. Alle 
19 Landesverbände und der Verband der 
Schwesternschaften des DRK seien auf- 
gefordert worden, die Datensicherheit 
ihrer Webseiten und Datenbanken zu 
überprüfen. Auch die zuständige Lan- 
desdatenschutzbehörde sei informiert 
worden, ebenso das Landeskriminalamt 
Brandenburg. Bei der Datenschutzmel- 
dung wurde aber bei zwei der betroffe- 
nen Kreisverbände die Meldefrist von 72 
Stunden überschritten. Zunächst hatte 
das DRK kommuniziert, es seien „kei- 
ne Details zu Diagnose oder Transport- 
grund“ der Patienten sichtbar gewesen. 
Danach hieß es, man befinde sich in der 
Abstimmung mit dem Kreisverband, da 
die „geschilderten Angaben zu perso- 
nenbezogenen Diagnosedaten nicht be- 
kannt waren”. 

Immer wieder kommt es im Gesund- 
heitsbereich zu Problemen mit dem 
Datenschutz. Den IT-Sicherheitsexper- 
ten Martin Tschirsich überrascht diese 
Häufung nicht. IT-Sicherheit verursa- 
che kurzfristig gesehen nur Kosten: „So 
kommt es, dass es in vielen Organisatio- 
nen zu wenig qualifiziertes Personalund 
Budget dafür gibt. Zum anderen ist es 
dann auch oft noch so, dass jede kleine 
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Einrichtung sich selbst um das Thema 
kümmern muss, anstatt dass die Kom- 
petenzen irgendwo gebündelt liegen“. 
Das mache es noch schwieriger, solche 
Systeme zu sichern. Auch beim Roten 
Kreuz organisieren Landes- und Kreis- 
verbände ihre Webseiten und Datenban- 
ken in eigener Verantwortung. Recht- 
lich seien sie „völlig selbständig”. Den- 
noch richtete der DRK-Landesverband 
Brandenburg eine E-Mail-Adresse und 
eine Telefonhotline ein, an die sich Be- 
troffene wenden können (Maier-Borst/ 
Tanriverdi/Zierer, Zehntausende Pati- 
enten betroffen Datenleck beim Deut- 
schen Roten Kreuz, wwwr.tagesschau. 
de 05.02.2020; Müller-Hansen, Mun- 
zinger, Gekapert in drei Minuten, SZ 
06.02.2020, 5). 


Brandenburg 


Hartge beanstandet Kfz- 
Kennzeichenerfassung 


Nach fünf Jahren Prüfung kam die 
Landesdatenschutzbeauftragte von 
Brandenburg Dagmar Hartge zu dem Er- 
gebnis, dass die langjährige Praxis der 
Polizei, mithilfe von Kfz-Kennzeichen- 
Scannern täglich den kompletten Auto- 
verkehr an festen Standorten zu über- 
wachen und die Daten zu speichern, 
ohne hinreichende Gesetzesgrundlage 
erfolgt. Der von der Polizei herangezo- 
gene 8 100h Strafprozessordnung (StPO) 
für die automatisierte Kennzeichen- 
erfassung sei keine Rechtsgrundlage, 
da überwiegend unbeteiligte Personen 
betroffen sind. Dass diese Daten erfasst 
und auf Vorrat gespeichert wurden, sei 
ein unzulässiger Eingriff in das Recht 
der Betroffenen auf informationelle 
Selbstbestimmung. 

Es gäbe weitere „gravierende daten- 
schutzrechtliche Mängel” beim Einsatz 
des Systems „Kesy“ im Aufzeichnungs- 
modus. Auch habe die Polizei „über 
den Umfang der Datenverarbeitung 
selbst entschieden” und so „gegen das 
Gebot der Datensparsamkeit und ge- 
gen das datenschutzrechtliche Prinzip 
der Erforderlichkeit” verstoßen. Die 
Strafverfolger sind aus Sicht der Lan- 
desbeauftragten verpflichtet zu prüfen, 
ob sie die über Jahre angesammelten 
Kennzeichendaten noch für Verfahren 
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benötigen oder sie andernfalls löschen 
müssen. Es wäre auch geboten gewesen, 
Informationen zu den jeweiligen Ermitt- 
lungsverfahren voneinander zu tren- 
nen. Alles andere „erschwert darüber 
hinaus eine unverzügliche Löschung”. 

Ein Rechtsgutachten im Auftrag des 
brandenburgischen Innenministeriums 
war im Juni 2019 zu entsprechenden 
Ergebnissen gekommen. Der zuständige 
Abteilungsleiter im Innenressort, Her- 
bert Trimbach, hatte angewiesen, den 
Betrieb der Scanner im Aufzeichnungs- 
modus auszusetzen. Er wurde daraufhin 
versetzt, das Gutachten umgeschrie- 
ben. Der damalige Innenminister Karl- 
Heinz Schröter (SPD) verteidigte die 
Autobahnüberwachung als wichtig und 
unverzichtbar. 

Inzwischen aktivierte die Polizei die 
Dauerbeschattung nur in Fällen, in de- 
nen eine hinreichend konkrete Anord- 
nung der Staatsanwaltschaft vorlag. 
Auch hat sie die Zahl der Nutzungsbe- 
rechtigungen reduziert. Die bereits an- 
gesammelten Kennzeichendaten blie- 
ben jedoch gespeichert. Die Sanktions- 
möglichkeiten der Datenschutzaufsicht 
sind im Bereich Inneres und Justiz ein- 
geschränkter als in der Wirtschaft, wo 
sie laut der Datenschutz-Grundverord- 
nung hohe Bußgelder verhängen kann. 
Die lange Dauer ihrer Untersuchungen 
erklärte Hartge damit, dass sich die zu 
prüfende Thematik ständig weiterent- 
wickelt und auch eine Vor-Ort-Inspekti- 
on nötig gemacht habe. Noch anhängig 
ist eine Beschwerde eines Autofahrers 
gegen Kesy vor dem Brandenburger 
Landesverfassungsgericht (Krempl, 
Datenschützerin beanstandet Kennzei- 
chenfahndung auf Autobahnen Bran- 
denburgs, www.heise.de 07.01.2020, 
Kurzlink: https://heise.de/-4629444). 


Brandenburg 


Kfz-Kennzeichen-Scanning 
wird - eingeschränkt - 
fortgeführt 


Nach der Kritik an der Kennzeichen- 
erfassung durch die Brandenburgische 
Landesdatenschutzbeauftragten recht- 
fertigte sich Brandenburgs Polizeiprä- 
sident Roger Höppner damit, dass sich 
der Datenschutz bei der massenhaften 


automatischen Kennzeichenfahn- 
dung auf Autobahnen deutlich ver- 
bessert habe. Die Polizei reagierte am 
03.02.2020 auf Kritik der Landesda- 
tenschutzbeauftragten Dagmar Hartge, 
die die bisherige Praxis als unzulässig 
bezeichnet hatte. In dem Schreiben 
von Höppner an Hartge heißt es, auf 
dem Server der Kennzeichenerfassung 
(Kesy) sollten künftig Daten jeweils nur 
noch maximal drei Monate gespeichert 
sein: „Dadurch wird der Datenumfang 
auf dem Kesy-Server um ein Vielfaches 
reduziert.” 

Auf Brandenburgs Autobahnen wer- 
den seit dem Jahr 2010 wegen lau- 
fender Ermittlungsverfahren und auf 
Anordnung der Staatsanwaltschaften 
Kennzeichen erfasst und gespeichert. 
Als die Polizei 2019 nach der ver- 
schwundenen Rebecca aus Berlin such- 
te, wurde das Kesy-System bekannt. 
Die Datenschutzbeauftragte beanstan- 
dete diese Praxis im Januar 2020. Die 
Speicherung nicht mehr erforderlicher 
Daten sei unzulässig. 

Der Polizeipräsident rechtfertigt den 
Aufzeichnungsmodus in seinem Schrei- 
ben grundsätzlich, will aber Mängel im 
Umgang mit dem Kesy-System abstel- 
len. Er weist darauf hin, dass ohnehin 
nur mit Gerichtsbeschluss und per An- 
ordnung einer Staatsanwaltschaft Da- 
ten aufgezeichnet werden. Im Januar 
2020 seien bereits Daten vom 1. April 
2017 bis zum 19. Juni 2019 für ein in- 
zwischen abgeschlossenes Ermittlungs- 
verfahren gelöscht worden. Bei diesem 
Ermittlungsverfahren ging es nicht 
nur um Brandenburg. Nach Angaben 
der Brandenburger Polizei ergaben 158 
Anfragen an 35 Staatsanwaltschaften 
in 13 Bundesländern und an den Gene- 
ralbundesanwalt zu Anordnungen für 
eine Aufzeichnung unter anderem, dass 
in 83 Fällen die Daten gelöscht werden 
sollen. In 37 Rückmeldungen gaben die 
Staatsanwaltschaften an, dass die Daten 
noch benötigt würden. 

Alle Daten sollen laut Polizei nach 
dem Ablauf eines Beschlusses zur au- 
tomatischen Kennzeichenfahndung 
von der Polizei gelöscht werden, aber 
per Datenträger an die jeweilige Staats- 
anwaltschaft gehen. Werden aktuell 
noch weiter Daten erhoben, sollen die 
Ermittler nach drei Monaten bei der 
Staatsanwaltschaft anfragen, ob diese 
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Daten weiter gebraucht werden oder 
gelöscht werden können. Derzeit ha- 
ben laut Polizei 14 Sachbearbeiter des 
Bereichs Bandenkriminalität Zugriff 
zu Kesy-Daten - im vergangenen Mai 
seien es noch 57 gewesen. Die Daten- 
schutzbeauftragte hatte eine fehlende 
Trennung der erhobenen und gespei- 
cherten Daten für die vielen parallelen 
Ermittlungsverfahren kritisiert - das 
erschwere eine sofortige Löschung. Die 
Daten sollen nun nach Auskunft des Po- 
lizeipräsidenten mit Merkmalen einem 
konkreten Verfahren zugeordnet wer- 
den. Damit könnten auch der Standort 
und der Zeitraum eingegrenzt werden. 

Zur Kritik der Datenschutzbeauftrag- 
ten daran, dass auch die Daten nicht 
beschuldigter Personen erfasst wer- 
den, verwies die Polizei auf die noch 
laufende Verfassungsbeschwerde eines 
Mitglieds der Piratenpartei beim Lan- 
desverfassungsgericht. Die Frage der 
Pflicht einer Benachrichtigung wird 
laut Polizei noch rechtlich geklärt. 
Die Landtagsmehrheit hatte im Janu- 
ar 2020 das Innenministerium dazu 
aufgefordert, die Beanstandungen 
von Hartge zu berücksichtigen und 
die Aufzeichnung nicht auszusetzen, 
so wie dies die Linksfraktion gefordert 
hatte. Neben der Datenerfassung zur 
Strafverfolgung gibt es auch die zur 
Gefahrenabwehr nach dem Polizeige- 
setz, die als unstrittig gilt. 

Derweil beklagt die Landesdaten- 
schutzbeauftragte weiter, dass die Fahn- 
der noch immer nicht alle Rechtsverstö- 
ße abgestellt haben. Nach einer Analyse 
der Polizeizusagen und zwei weiteren 
Kontrollbesuchen vor Ort stellte sie fest, 
dass die Ermittler selbst nach eigenen 
Angaben nur Daten löschten, die sie vor 
dem 19. Juni 2019 erhoben haben. Ei- 
nen Nachweis dafür etwa in Form eines 
technischen Protokolls habe die Behörde 
nicht vorlegen können. Zudem habe das 
Polizeipräsidium den kompletten, bis zum 
gemeldeten Stichtag angefallenen Daten- 
bestand zuvor aufandere Speichermedien 
übertragen, um anfragenden Staatsan- 
waltschaften weiter darüber Auskunft 
geben zu können. So gehe der Eingriff in 
die Schutzrechte Betroffenen erst einmal 
weiter: „Ihre Daten liegen immer noch 
vor - neuerdings aber auf Magnetbändern 
undnicht mehr aufeinem Server. Einetat- 
sächliche Löschung sieht anders aus.” 
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Hartge bezweifelt weiterhin, dass 
der von den Fahndern in Anspruch 
genommene & 100h StPO als rechtli- 
che Basis für den Einsatz der automa- 
tisierten Nummernschilderfassung 
im Aufzeichnungsmodus ausreicht. 
Positiv sieht Hartge nur, dass sich die 
Polizei an 35 Staatsanwaltschaften in 
13 Bundesländern sowie an den Ge- 
neralbundesanwalt gewandt habe, 
um den Bestand der gespeicherten 
Kennzeichendaten zu reduzieren. So- 
lange noch keine Rückmeldungen 
über für dortige Ermittlungsverfahren 
noch benötigte Informationen vorlä- 
gen, bleibe der Bestand aber nach wie 
vor erhalten (Kennzeichenerfassung: 
Brandenburger Polizei sieht verbes- 
serten Datenschutz, wwrw.heise.de 
03.02.2020, Kurzlink: https://heise. 
de/-4652378; Krempl, Datenschütze- 
rin: Brandenburgs Polizei trickst bei 
Kennzeichenfahndung, www.heise.de 
13.02.2020, Kurzlink: https://heise. 
de/-4660497) 


Hamburg 


Facebook unterlässt An- 
zeige wegen DSB-Wechsel: 
Bußgeld 


Die deutsche Facebook-Tochter ist 
vom Hamburger Datenschutzbeauf- 
tragten Johannes Caspar mit einem 
Bußgeld in Höhe von 51.000 Euro be- 
legt worden, weil die Firma ihn nicht 
über den Wechsel ihres Datenschutzbe- 
auftragten informiert hatte. Facebook 
hatte mit Anwendbarkeit der EU-Daten- 
schutz-Grundverordnung im Mai 2018 
dem Team der Hauptniederlassung 
in Dublin die Rolle des Datenschutz- 
beauftragten für alle europäischen 
Tochterunternehmen übertragen. Dies 
wurde aber nicht an die Behörde in 
Hamburg gemeldet, wo die Facebook 
Germany GmbH ihren Sitz hat. Deshalb 
verhängte Caspar bereits im März 2019 
das Bußgeld. 

Im Jahresbericht für 2019 berichtet 
Caspar: „Dieser Fall sollte allen anderen 
Unternehmen eine deutliche Warnung 
sein. Die Benennung des Datenschutz- 
beauftragten und die Mitteilung an die 
Aufsichtsbehörde sind Pflichten, die 
die DSGVO ernst nimmt.” Facebook er- 


klärte, aus Sicht des Online-Netzwerks 
sei es rechtlich umstritten, ob die deut- 
sche Firma zusätzlich zur europaweit 
zuständigen irischen Behörde auch in 
Hamburg die Kontaktdaten des Daten- 
schutzbeauftragten mitteilen müsse, 
so ein Sprecher: „Wir haben uns jedoch 
entschieden, das Bußgeld des HmbBfDI 
zu akzeptieren.” Finanziell fällt das 
Bußgeld bei Facebook nicht ins Ge- 
wicht: Der Konzern hatte im jüngsten 
Geschäftsquartal einen Umsatz von gut 
21 Milliarden Dollar (19,4 Milliarden 
Euro) erzielt. Der Gewinn legte auf 7,4 
Milliarden Dollar (6,8 Milliarden Euro) 
zu (Hamburger Datenschützer verhängt 
Bußgeld gegen Facebook, www.heise. 
de 13.02.2020, Kurzlink: https://heise. 
de/-4660300). 


Saarland 


Neues Polizeirecht mit 
Überwachungsbefugnissen 
geplant 


Nach Novellen in vielen anderen 
Bundesländern will auch die saarländi- 
sche schwarz-rote Regierung das Poli- 
zeigesetz des Landes überarbeiten und 
Kompetenzen massiv erweitern. Der 
Landtag in Saarbrücken berät einen 
einschlägigen Entwurf. Danach sollen 
Ermittler mit richterlicher Erlaubnis 
mit technischen Mitteln in informa- 
tionstechnische Systeme eingreifen, 
um eine Quellen-Telekommunikations- 
überwachung durchführen zu können. 
Ziel einer solchen Maßnahme ist es, 
insbesondere die laufende Kommuni- 
kation über Messenger wie WhatsApp, 
Signal oder Threema und Internet- 
Telefonie via Skype & Co. direkt auf 
einem Zielsystem abzuhören, bevor 
diese ver- oder nachdem sie entschlüs- 
selt wird. Dafür greifen Strafverfolger 
in der Regel auf Staatstrojaner zurück, 
die Sicherheitslücken ausnutzen. Eine 
Lizenz zu einer noch weitergehenden 
heimlichen Online-Durchsuchung etwa 
ganzer Festplatten hat die Regierung 
nicht vorgesehen. 

Die Polizei soll „durch den Einsatz 
technischer Mittel auch den Standort 
eines mobilen Telekommunikations- 
endgeräts“ mithilfe von IMSI- oder 
WLAN-Catchern feststellen dürfen. Die 
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bestehende Pflicht zur Bestandsdaten- 
auskunft für Telekommunikationsfir- 
men will die Regierung auf sämtliche 
Anbieter von Telemedien und Web- 
diensten wie WhatsApp, Google oder 
Tinder erweitern. Von diesen sollen 
die Fahnder auch „Nutzungsdaten” wie 
IP-Adressen, Browsertyp, Seitenabrufe 
oder Besuchsdauer abfragen dürfen. 

Mit Richtergenehmigung soll die Po- 
lizei ferner künftig den Aufenthalt von 
„Gefährdern” mit einer elektronischen 
Fußfessel überwachen können, wenn 
deren individuelles Verhalten die kon- 
krete Wahrscheinlichkeit dafür begrün- 
det, dass sie schwere Straftaten begehen 
oder eine kriminelle beziehungsweise 
terroristische Vereinigung ins Leben 
rufen werden. Die Ordnungshüter müs- 
sen dabei die Annahme haben, dass die 
Bevölkerung auf erhebliche Weise ein- 
geschüchtert oder die Grundstrukturen 
eines Staates oder einer internationalen 
Organisation erheblich beeinträchtigt 
werden sollen. 

Um die neu verankerten Aufenthalts- 
oder Kontaktverbote durchzusetzen, 
sollen die Beamten das Tragen funkender 
Fußfesseln verordnen dürfen. Der Ein- 
satz von Mobilfunk-Jammern zum Stören 
oder Unterbrechen einer Handy-Ver- 
bindung wird genauso geregelt wie der 
erweiterte, nun auch in Gebäuden und 
Wohnungen vorgesehene Bodycam-Ein- 
satz. Die Befugnis zu Videoüberwachung 
öffentlicher Räume soll ausgedehnt wer- 
den auf Veranstaltungen und Ansamm- 
lungen, die generell ein „besonderes 
Gefährdungsrisiko” aufweisen oder von 
terroristischen Anschlägen bedroht sein 
könnten. Der Kameraeinsatz soll gemäß 
dem Entwurf schon möglich sein, wenn 
„tatsächliche Anhaltspunkte die Annah- 
me rechtfertigen, dass Ordnungswidrig- 
keiten von erheblicher Bedeutung oder 
Straftaten begangen werden“. 

Weiterhin soll das umstrittene Scan- 
ning von Kfz-Nummernschildern wie- 
der eingeführt werden. Die entspre- 
chende „anlassbezogene automatische 
Kennzeichenfahndung”“ dürfe aber 
„nicht flächendeckend” erfolgen. Die 
Polizei soll auch eine sogenannte Re- 
ferenzdatenbank mit DNA-Datensätzen 
eigener Mitarbeiter anlegen können, 
um bei einem Abgleich von Körper- 
merkmalen von Verdächtigen „Trug- 
spuren” zu vermeiden. 
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Der Innenausschuss des Landtags 
hat für den 07.05.2020 eine Anhörung 
zu dem Entwurf angesetzt. Saarland 
reiht sich mit dem Vorhaben in die Pha- 
lanx anderer Bundesländer wie Bayern, 
Nordrhein-Westfalen, Niedersachsen 
und zuletzt Mecklenburg-Vorpommern 
ein, die trotz heftiger Proteste den po- 
lizeilichen Instrumentenkoffer massiv 
aufgestockt haben. Der saarländische 
Innenminister Klaus Bouillon (CDU) 
hatte zuvor mit seiner Ankündigung 
für Schlagzeilen gesorgt, die umstrit- 
tene Taser-Elektroschockwaffe flä- 
chendeckend allen Streifenpolizisten 
aushändigen zu wollen (Krempl, Saar- 
land: Polizei soll Staatstrojaner und 
elektronische Fußfessel einsetzen dür- 
fen, www.heise.de 21.03-2020, Kurz- 
link: https://heise.de/-4687555). 


Thüringen 


Datenschutzprobleme bei 
polizeilicher Smartphone- 
Ausstattung 


Die Thüringer Polizisten müssen län- 
ger auf ihre dienstlichen Smartphones 
warten als geplant. Grund sind Da- 
tenschutzbedenken beim Verwenden 
von polizeilichen Anwendungen und 
bei der Übertragung von personenbe- 
zogenen Daten über das Internet. Die 
Landespolizeidirektion erklärte: „Die 
verfügbare Infrastruktur zum sicheren 
mobilen Arbeiten genügte im Ergeb- 
nis erster Betrachtungen hinsichtlich 
der IT-Sicherheit und damit auch des 
Datenschutzes den selbst gestellten 
Anforderungen nicht.” Ursprünglich 
sollten Ende 2019 alle Streifenpolizis- 
ten mit einem Smartphone ausgestat- 
tet sein. 

Thüringens Innenminister Georg 
Maier (SPD) kündigte an, dass die Di- 
gitalisierungsstrategie der Thüringer 
Polizei 2020 „konsequent weiter um- 
gesetzt wird. Schwerpunkt bildet dabei 
in der ersten Jahreshälfte die Ausstat- 
tung des Einsatz- und Streifendienstes 
mit mobilen Endgeräten.” Die erforder- 
lichen Apps würden derzeit program- 
miert und getestet. „Hierbei ist die 
Gewährleistung von Datenschutz und 
Datensicherheit von herausragender 
Bedeutung.” 


Im Frühjahr 2019 hatten die ersten 
300 Polizisten in der Polizeiinspektion 
Saalfeld testhalber Smartphones mit 
speziellen Apps für die Polizei erhalten. 
Die Errichtung einer sicheren Infra- 
struktur von mobilen Geräten und der 
Software habe sich aber als „aufwendi- 
ger als zunächst prognostiziert” erwie- 
sen. „Wir wollen das nächstes Jahr so 
schnell wie möglich machen.” Es gehe 
um etwa 2.000 Polizisten in Thüringen, 
die mit einem Smartphone ausgestat- 
tet werden sollen. 

Die Thüringer Polizei führt dazu Ver- 
handlungen mit Netzbetreibern. Die 
Datenschutzprobleme ergeben sich vor 
allem aus der Übertragung sensibler 
Daten per Smartphone über das Inter- 
net, so ein Sprecher: „Für die Verarbei- 
tung der Daten durch Dritte müssen wir 
einen Vertrag schließen.” Möglich sei 
etwa eine Verschlüsselung der Daten. 
Allerdings muss die Polizei sicherstel- 
len, dass auch die Netzbetreiber nicht 
uneingeschränkt an die Daten kom- 
men. „Zielist, einen Weg zu finden, wie 
Daten sicher übertragen werden kön- 
nen, ohne dass der Mobilfunkanbie- 
ter einen ungeregelten Zugriff darauf 
hat.” Bei Laptops, dieim Außeneinsatz 
genutzt werden, sei die Verschlüsse- 
lung mithilfe eines externen Gerätes 
gelöst. Für Smartphones sei diese Lö- 
sung aber nicht geeignet, weil sie da- 
durch unhandlich würden. 

Mit den Smartphones sollen Poli- 
zisten nach den Vorstellungen der 
Thüringer Polizei in Zukunft einfache 
Sachverhalte bereits von unterwegs in 
das polizeiliche Verarbeitungssystem 
einspeisen können. Außerdem soll es 
möglich sein, zum Beispiel Ausweis- 
dokumente direkt mit dem Smartpho- 
ne auszulesen und per Internetver- 
bindung überprüfen zu lassen. Dabei 
sollen die Beamten unter anderem 
die Echtheit der Dokumente prüfen 
und Informationen erhalten können 
- zum Beispiel ob gegen die überprüf- 
te Person eine Fahndung läuft. Auch 
eine Foto-App sollen die Beamten auf 
ihren Smartphones nutzen können. 
Damit sollen etwa Auto-Kennzeichen 
abfotografiert und überprüft werden 
können (Digitalisierung der Thüringer 
Polizei verzögert sich, www.heise.de 
23.12.2019. Kurzlink: https://heise. 
de/-4622011). 
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Datenschutznachrichten aus dem Ausland 


Weltweit 


„Operation Rubikon”: 
Staatsverschlüsselung für 
BND und CIA 


Der Bundesnachrichtendienst (BND) 
und der US-Auslandsgeheimdienst CIA 
haben mittels der Verschlüsselungsfir- 
ma Crypto AG mit Sitz in dem Schwei- 
zer Städtchen Steinhausen über Jahr- 
zehnte hinweg mehr als 100 Staaten 
ausgespäht. Medienberichten zufolge, 
die auf die Auswertung von bisher un- 
veröffentlichten CIA- und BND-Doku- 
menten über die von 1970 bis 1993 
laufende „Operation Rubikon” zurück- 
gehen, verließen sich Regierungen in 
aller Welt bei der Verschlüsselung ihrer 
Kommunikation auf die Firma im Un- 
wissen darüber, dass diese seit 1970 in 
Besitz der CIA und des BND war und die 
Geheimdienste so in der Lage waren, 
die Verschlüsselung zu knacken. 

Das Unternehmen produzierte zwei 
Arten von Geräten: wirklich abhörsi- 
chere und solche, die von den Diensten 
geknackt werden konnten. Bei den feh- 
lerhaften Geräten war die Verschlüsse- 
lung bewusst weniger kompliziert: Wer 
die Technik kannte, konnte mitlesen. 
Ein Modell wurde gar komplett von der 
NSA entworfen. Regierungen und Mili- 
tärs, die die Geräte kauften, vertrauten 
auf die vermeintlich sichere Technik 
aus der neutralen Schweiz. Tatsächlich 
hörten USA und BND mit. 

Der frühere Kanzleramtsminister 
Bernd Schmidbauer bestätigte die 
„Operation Rubikon” und meinte: „Die 
Aktion Rubikon hat sicher dazu beige- 
tragen, dass die Welt ein Stück siche- 
rer geblieben ist.” Der BND habe die 
Zusammenarbeit mit der CIA demnach 
aber 1993 beendet. Die Crypto AG war 
seit Ende des Zweiten Weltkriegs bis 
zum Beginn dieses Jahrhunderts einer 
der größten Anbieter für abhörsichere 
Kommunikation und verkaufte diese 
weltweit. Zu den Kunden zählten rund 
120 Länder, darunter der Iran, südame- 
rikanische Regierungen sowie Indien, 
Pakistan und der Vatikan. BND und 
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CIA waren demnach ab 1970 jeweils 
zur Hälfte Eigentümer der Firma. Die 
Kunden hätten nicht gewusst, dass 
BND und CIA die Technik manipulieren 
ließen. 

Die größten Abnehmer für die ma- 
nipulierte Technik waren demnach 
Saudi-Arabien und der Iran. Jahrzehn- 
telang seien deutsche und US-Stellen 
über die geheime Regierungskommu- 
nikation des Iran informiert gewesen, 
auch während der Geiselnahme in der 
US-Botschaft in Teheran 1979. Die Do- 
kumente belegten außerdem erstmals, 
dass BND und CIA frühzeitig über den 
Sturz des chilenischen Präsidenten 
Salvador Allende 1973 und schwere 
Menschenrechtsverletzungen durch 
die argentinische Militär-Junta infor- 
miert waren, bei denen Tausende Re- 
gimegegner verschwanden und zum 
Beispiel aus Hubschraubern lebendig 
ins Meer geworfen worden waren. 

Den Berichten zufolge haben CIA und 
BND Millionen Euro an der Firma ver- 
dient, so ein Zitat aus den ausgewer- 
teten Papieren: „Die jährliche Gewinn- 
ausschüttung (...) wurde dem BND- 
Haushalt zugeschlagen, (...) Haushalts- 
ausschuss und Rechnungshof hatten 
darüber keine Kontrolle.” So wurden die 
Staaten Dank ihrer Leichtgläubigkeit 
nicht nur ihrer Geheimnisse, sondern 
auch ihres Geldes beraubt. Das Schwei- 
zer Verteidigungsministerium teilte 
mit: „Die zur Diskussion stehenden Er- 
eignisse nahmen um 1945 ihren Anfang 
und sind heute schwierig zu rekonstru- 
ieren und zu interpretieren.” 

Der „Spiegel“ hatte die Crypto AG in 
einem Artikel 1996 die „allererste Ad- 
resse bei den Heimlichkeitswerkzeu- 
gen” genannt und über „verworrene” 
Besitzverhältnisse berichtet und dass 
deutsche und amerikanische Geheim- 
dienste im Verdacht stünden, „bis Ende 
der achtziger Jahre Cryptos Schutzge- 
räte so manipuliert zu haben, dass ihre 
Codes im Handumdrehen zu knacken 
waren“. Er vermutete „die dreisteste 
Geheimdienstfinte des Jahrhunderts”. 

In der Schweiz lösen die Enthüllun- 
gen Bestürzung aus. Gemäß den Re- 
cherchen waren die schweizerischen 


Geheimdienste über Jahrzehnte ein- 
geweiht; es liegen Hinweise vor, nach 
denen sogar „Schlüsselpersonen in der 
Regierung“ von der Operation wussten. 
Nun fürchten viele um den Ruf ihres 
Landes. Als neutraler Staat genießt die 
Schweiz besonderes Vertrauen, wes- 
halb sie häufig als Vermittlerin bei Kon- 
flikten auftritt oder als „Briefträgerin” 
zwischen Staaten fungiert, die ihre 
Beziehungen abgebrochen haben. Der 
Bundesrat, die Schweizer Regierung, 
erfuhr aufgrund von Mediennachfra- 
gen schon im November 2019 von der 
Recherche und entzog den Nachfolge- 
firmen der Crypto AG die Ausfuhrbe- 
willigung. Die Crypto AG soll 2018 in 
zwei Firmen aufgespalten worden sein. 
Den neuen Geschäftsleitungen lägen, 
so Medienberichte, über die Zeit davor 
keine Erkenntnisse vor. Der Schweizer 
Bundesrat hat am 15.01.2020 Niklaus 
Oberholzer, bis Ende 2019 Bundesrich- 
ter, damit beauftragt, die Faktenlage 
zu klären. Bis Ende Juni soll sein Be- 
richt vorliegen. 

Schweizer Parlamentarier fordern 
nun die Einsetzung einer Parlamen- 
tarischen Untersuchungskommission 
(PUK), des mächtigsten Kontrollinst- 
ruments, das dem Parlament zur Verfü- 
gung steht. Im Februar kündigten die 
Sozialdemokraten bereits an, im Früh- 
ling eine entsprechende Initiative ein- 
zureichen. Es wäre erst die fünfte PUK 
in der Geschichte der Schweiz. Offen für 
eine Einsetzung zeigten sich auch Ver- 
treter der Grünen und der FDP; auch die 
Schweizerische Volkspartei (SVP) zieht 
in Betracht, zuzustimmen. Über mög- 
liche Verbindungen der Crypto AG zu 
Geheimdiensten wurde schon seit den 
Neunzigerjahren berichtet. Die nun in 
Auszügen veröffentlichten Berichte 
der Dienste kommen aber Geständnis- 
sen gleich und enthüllen, wie eiskalt 
BND und CIA ihr Geschäft betrieben. 
Über die Crypto-Maschinen spionierte 
der deutsche Dienst sogar Verbündete 
aus - darunter die Nato-Mitglieder Spa- 
nien, Italien, Portugal und die Türkei. 

Nur wenige hochrangige Crypto- 
Mitarbeiter waren in das doppelte Spiel 
eingeweiht. Sie waren Helfer der Ge- 
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heimdienste, ohne genau zu wissen, 
wer die Fäden zog. 1992 dann die Krise: 
Iran verhaftete den Crypto-Vertreter 
Hans Bühler und warf ihm Spionage 
vor. Er wusste nicht, dass er mit Ware 
handelte, die manipuliert worden war. 
Der BND kaufte ihn für eine Million Dol- 
lar frei. Auch weil Bühler später selbst 
den Verdacht äußerte, die Geräte sei- 
ner Firma seien womöglich Spionage- 
werkzeuge, wurde es der Bundesregie- 
rung zu heiß. Sie stieg 1993 aus dem 
Projekt aus. Laut den jüngsten Enthül- 
lungen betrieb die CIA die Operation 
noch bis 2018 weiter. Danach spaltete 
sich die Firma auf und ging an neue Ei- 
gentümer. 

Der deutsche Bundestagsabgeordne- 
te Konstantin von Notz (Grüne) forder- 
te die Bundesregierung auf, im Parla- 
mentarischen Kontrollgremium (PKGr) 
Stellung zu nehmen. Er ist stellver- 
tretender Vorsitzender des PKGr, über 
das der Bundestag die Geheimdienste 
kontrollieren soll. Es sei zu klären, 
„ob die parlamentarische Kontrolle 
vorsätzlich über rund zwei Jahrzehnte 
umgangen wurde”. Stephan Thomae, 
der für die FDP im PKGr sitzt, hat vor 
allem eine Frage an die Bundesregie- 
rung: „Es gab Gewinne, die offenbar 
in einen Schattenhaushalt des BND 
geflossen sind. Wo sind diese Gelder 
verblieben?“ Eine Sprecherin der Bun- 
desregierung sagte lediglich, man habe 
die Berichte „zur Kenntnis genom- 
men“. Der BND selbst erklärte: „Der 
Bundesnachrichtendienst nimmt zu 
Angelegenheiten, welche die operative 
Arbeit betreffen, grundsätzlich nicht 
öffentlich Stellung“ (Geheimdienste 
CIA und BND hörten gemeinsam ab, 
www.tagesschau.de 11.02.2020; BND 
und CIA spähten mittels gemeinsamer 
Firma Staaten aus, www.tagesspiegel. 
de 11.02.2010; Brühl/Pfaff, Von wegen 
neutral, SZ 13.02.2020, 6). 


Weltweit 


Millionen Facebook-Nutzer- 
daten offen im Netz 


Sicherheitsforscher haben eine un- 
gesicherte Datenbank mit offenbar 
gestohlenen Informationen von 267 
Millionen Facebook-Nutzern im Netz 
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entdeckt. Die Datenbank mit Basis- 
informationen befand sich rund zwei 
Wochen lang auf einem ungesicherten 
Server im Internet. Die Datensätze 
bestanden offenbar aus Namen, Tele- 
fonnummer und zugehöriger User-ID. 
Wie die britische Tech-Webseite „Com- 
paritech” in Zusammenarbeit mit dem 
Sicherheitsforscher Bob Diachenko 
berichtet, waren sie Mitte Dezember 
2019 auf eine Elasticsearch-Datenbank 
mit den Daten gestoßen, die seit dem 
04.12.2019 ohne Passwortschutz im 
Netz stand. Am 19.12. sei der Server 
allerdings offline gegangen. 

Beidem Datensatz handelte essichum 
Informationen, die mutmaßlich mit kri- 
minellen Absichten gesammelt wurden. 
Die Daten stammen möglicherweise aus 
Facebooks Entwickler-APT und waren 
abgegriffen worden, bevor Facebook die 
Suche nach Telefonnummern im April 
2018 im Zuge des Cambridge-Analyti- 
ca-Skandals abgeschaltet hatte. Bis 
dahin war es möglich gewesen, durch 
massenhaftes Abgleichen von existie- 
renden Telefonnummern die zugehöri- 
gen Facebook-Profile zu ermitteln. Die 
Informationen wären demnach knapp 
zwei Jahre alt. Eine alternative Methode 
hätte im automatischen Durchforsten 
öffentlicher Facebook-Profilinformatio- 
nen bestanden. 

Die betroffenen User stammen laut 
dem Bericht überwiegend aus den 
USA, wobei Spracheinstellungen des 
Datenbankservers auf vietnamesische 
Datensammler hindeuten. Besonders 
die enthaltenen Telefonnummern sind 
problematisch, da sie für SIM-Swapping 
oder Phishingversuche per SMS benutzt 
werden könnten. Facebook bestätigte 
den Vorgang. Man vermute, dass die 
Daten tatsächlich vor den Beschrän- 
kungen der Suchmöglichkeiten gesam- 
melt worden seien. Eine ähnliche, offen 
einsehbare Datenbank mit mehr als 410 
Mio. Betroffenen aus den USA, Großbri- 
tannien und Vietnam war im September 
2019 von „TechCrunch” entdeckt wor- 
den. In der damaligen Sammlung waren 
ebenfalls User-ID und Telefonnummern, 
aber auch Namen und teils Geschlecht 
und Staatsangehörigkeit enthalten 
(Koenigsdorff, Daten von 267 Millionen 
Facebook-Nutzern offen im Netz, www. 
heise.de 20.12.2019, Kurzlink: https:// 
heise.de/-4621213). 


Europa 


Datenschutzbeauftragte 
fordern EU-Datenschutzbe- 
hörde im privaten Bereich 


Deutsche Datenschutzbeauftragte 
fordern für internationale Konzerne die 
Einrichtung einer europaweit zuständi- 
gen zentralen Datenschutzbehörde. Die 
schleswig-holsteinische Datenschutz- 
beauftragte Marit Hansen erklärte, es 
habe sich nicht bewährt, dass allein die 
irische Behörde bei großen internatio- 
nalen Konzernen wie Facebook zustän- 
dig sei. Eine unabhängige Einrichtung 
könne frei entscheiden, unabhängig 
davon, wo ein Konzern seine Steuern 
zahle. Bei einer EU-Behörde müsse man 
„keine direkte oder indirekte politische 
Einflussnahme aus den Mitgliedstaaten 
befürchten“. Auch der Hamburger Da- 
tenschutzbeauftragte Johannes Caspar 
kritisiert das aktuell in der DSGVO gere- 
gelte Verfahren als „schwerfällig, über- 
bürokratisch und ineffizient”. Es räume 
der federführenden Behörde zu viele 
Rechte ein und ermögliche ihr, den Ent- 
scheidungsfluss völlig zum Erliegen zu 
bringen. Änderungen seien nötig, „um 
Rechte und Freiheiten Betroffener ge- 
rade gegenüber globalen Diensteanbie- 
tern durchzusetzen, aber auch um einen 
fairen Wettbewerb auf dem digitalen 
Binnenmarkt sicherzustellen” (Gries, 
Deutsche Datenschutzbeauftragte for- 
dern europäische Datenschutz-Behör- 
de, https://www.turi2.de 25.02.2020). 


Europa 


Buchungsplattformen wer- 
den statistisch erfasst 


Buchungen über Airbnb, Booking, 
Expedia und Tripadvisor sollen erstmals 
europaweit statistisch erfasst werden, 
um einen Überblick über die in man- 
chen Städten beklagten Auswüchse 
der privaten Zimmervermittlungen zu 
erhalten. Die EU-Kommission teilte am 
05.03.2020 mit, dass hierbei Nutzende 
nicht registriert und der Datenschutz 
gewahrt würden. Nach Angaben der 
Brüsseler Behörde haben die vier Ver- 
mittlungsportale eine Vereinbarung mit 
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dem EU-Statistikamt Eurostat getrof- 
fen. Geliefert würden Zahlen zu gebuch- 
ten Übernachtungen und Gästen, so EU- 
Wirtschaftskommissar Paolo Gentiloni: 
„Künftig können Behörden diese neu 
verfügbaren Daten für eine fundierte 
Politikgestaltung nutzen.” 

Die Plattformen für private Unterkünf- 
te stehen in der Kritik. Den Betreibern 
wird vorgeworfen, die Wohnungsnot zu 
verschlimmern, weil Wohnungen als Fe- 
rienwohnungen zweckentfremdet wür- 
den. Der für den Binnenmarkt zuständi- 
ge EU-Kommissar Thierry Breton sagte, 
die Vermietung privater Unterkünfte sei 
bequem für Touristen und eine Einnah- 
mequelle für Besitzer. Die Kommission 
stehe dem positiv gegenüber: „Gleichzei- 
tig wird sie die lokalen Gemeinschaften 
dabei unterstützen, die Herausforde- 
rungen zu bewältigen, die sich aus die- 
sem raschen Wandel ergeben” (Airbnb 
und Co. liefern Eurostat Daten, www. 
wienerzeitung.at 05.03.2020). 


Europa 


Facebook verbreitet 
Nebelkerzen gegen 
Internet-Regulierung 


Nick Clegg, der früher stellvertreten- 
der britischer Premierminister war, ist 
jetzt als Facebooks „Außenminister“ für 
die globale Beziehungspflege des Inter- 
netkonzerns zuständig. Im September 
2019 appellierte er auf einer Facebook- 
Veranstaltung dafür, Scharmützel über 
den Zugang zu Daten oder kartellrecht- 
liche Schritte zu lassen und sich dem 
„Kampf um die Seele des Internets” zu 
stellen. Die Gräben verliefen dabei nicht 
etwa zwischen Europa und den USA, 
sondern zwischen dem Westen und der 
wachsenden Zahl an Ländern vor allem in 
autoritär regierten Ländern, die das Kon- 
zept einer „chinesischen Mauer” im Netz 
übernehmen wollten. Europa und die USA 
müssten gemeinsam gegen diese neuen 
chinesischen Mauern im Netz kämpfen. 

Facebook selbst habe als US-ameri- 
kanisches Unternehmen „viel mit den 
europäischen Werten” gemein, erklärte 
Clegg im Zusammenhang mit einem Ge- 
spräch mit den EU-Kommissaren Vera 
Jourovä und Valdis Dombrovskis, die die 
Ressorts „Werte und Transparenz” sowie 
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„Wirtschaft und Kapitaldienstleistun- 
gen“ leiten. Akteure in Europa und den 
USA seien bemüht, ein „offenes, freies 
und grenzenloses Internet zu schüt- 
zen”. Dem gegenüber stehe China, das 
auf ein staatlich überwachtes und ein- 
geschränktes Netz setze. 

Die politischen Entscheidungsträger 
müssten laut Clegg „den Einfallsreich- 
tum und die Freiheit schützen”, die das 
Internet bisher im Westen ausmachten. 
Facebook erhoffe sich gerade von der 
EU-Kommission neue Gesetze und Vorga- 
ben nach diesen Prinzipien. Zuvor hatte 
Facebook-Chef Mark Zuckerberg bereits 
von der Politik weltweit einheitliche Re- 
geln für den Umgang mit gefährlichen 
Inhalten oder zum Datenschutz verlangt, 
bei denen aber auch die Meinungsfrei- 
heit berücksichtigt werden sollte. 

Die neue Kommission unter Ursula 
von der Leyen (CDU) will unter anderem 
den Entwurf für einen „Digital Services 
Act” vorlegen, mit dem Online-Plattfor- 
men stärker in die Verantwortung ge- 
nommen werden sollen. Für Konzerne 
wie Facebook sind Clegg zufolge Grund- 
regeln erforderlich, damit sie nicht 
länger als „Online-Schiedsrichter” in 
politischen Auseinandersetzungen fun- 
gieren müssten. Dem Beispiel von Twit- 
ter, politische Werbung zu untersagen, 
werde Facebook aber nicht folgen. Bei 
solchen Kampagnen handle es sich um 
eine „legitime Nutzung unserer Platt- 
form”. Skeptisch äußerte sich Clegg 
zum Drängen der Kommission, Daten- 
sätze offenzulegen, die das Unterneh- 
men über seine Nutzer speichert. Ein 
weitergehender Ansatz zum Teilen von 
Daten mit Wettbewerbern im Sinne etwa 
einer Interoperabilität von Messenger- 
Diensten könne auch ein Risiko für die 
Privatsphäre der Betroffenen bedeuten 
(Krempl, EU-Requlierung: Facebook will 
für die „Seele des Internets” streiten, 
www.heise.de 06.12.2019, Kurzlink: 
https://heise.de/-4607057). 


Niederlande 


System gegen Sozial- und 
Steuerbetrug wegen Daten- 
schutzmängeln gestoppt 


Die Niederlande stoppen den Ein- 
satz eines Computersystems gegen So- 


zial- und Steuerbetrug, nachdem ein 
Gericht das Verknüpfen gespeicherter 
Einwohnerdaten für unrechtmäßig er- 
klärt hat. Das Sozialministerium in Den 
Haag teilte am 05.02.2020 mit, dass die 
Privatsphäre der Bevölkerung laut dem 
Urteil unzureichend geschützt sei, wes- 
halb das Computersystem außer Betrieb 
genommen werde. Das zunächst nur in 
einigen Städten eingesetzte Compu- 
tersystem konnte zu einer Person viel- 
fältige Daten verknüpfen, etwa zum 
Arbeitsleben, zu Steuern, Schulden, 
Immobilienbesitz, Einbürgerung, Aus- 
bildung, Sozialleistungen oder auch 
zu beantragten Genehmigungen für 
bestimmte berufliche Aktivitäten. Das 
Gerichtin Den Haag hatte den Behörden 
in seinem Urteil vom gleichen Tag zwar 
grundsätzlich das Recht eingeräumt, im 
Kampf gegen Sozialbetrug neue techno- 
logische Möglichkeiten zu nutzen. Al- 
lerdings müsse es einen transparenten 
Schutz der Daten der Bürger geben. Dem 
werde das eingesetzte Computersystem 
SyRI nicht gerecht (Niederlande stop- 
pen Einsatz von Computerprogramm 
gegen Sozialbetrug, www.greenpeace- 
magazin.de 05.02.2020). 


Israel 


Wählerdaten im Netz frei 
verfügbar 


In Israel hat die rechtsnationale Par- 
tei von Premier Benjamin Netanjahu 
personenbezogene Daten von rund 6,5 
Millionen Bürgerinnen und Bürgern in 
eine App geladen, sodass sie tagelang 
im Internet frei zugänglich waren. Laut 
Medienberichten waren Namen, Perso- 
nalausweisnummern, Adressen sowie 
Telefonnummern aller Israelis über 18 
Jahre abrufbar. Bei rund 600.000 Perso- 
nen hatten Parteimitarbeiter hinzuge- 
fügt, dass diese Person den Likud nicht 
unterstütze. Die Partei bestätigte die 
Sicherheitslücke und machte den An- 
bieter der App dafür verantwortlich, die 
israelische Firma Feed-b. Wiein anderen 
Ländern auch bekommen in Israel Par- 
teien vor Wahlen Zugang zum Wählerre- 
gister und sind dann dafür verantwort- 
lich, dass der Datenschutz gewährleis- 
tet bleibt. Es war schon das zweite Mal, 
dass Likud Fahrlässigkeit im Umgang 
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mit personenbezogenen Informationen 
vorgeworfen werden musste (Föderl- 
Schmid, Gefährlich sorglos, Datenpanne 
beim Likud, SZ 12.02.2020, 4, 6). 


USA/Deutschland 


Nutzung von Clearviews 
Gesichtsdatenbank durch 
Private und Behörden 


Über das Unternehmen Clearview 
mit seiner globalen Gesichtsdatenbank 
(DANA 1/2020, 68 f.) wurden weitere 
Erkenntnisse öffentlich. Die Datenbank 
enthält angeblich drei Milliarden Bil- 
der und begleitende Informationen, die 
Clearview aus sozialen Netzwerken und 
vielen anderen Websites zusammenko- 
piert hat, ohne dabei irgendjemanden 
um Erlaubnis zu bitten. Nach dessen ei- 
genen Angaben ist die umstrittene Ge- 
sichtserkennungs-App ein „Recherche- 
Werkzeug für Strafverfolger, um Täter 
und Opfer von Verbrechen zu identifizie- 
ren”. Doch berichten Medien, dass auch 
zahlreiche Bildungseinrichtungen, Un- 
ternehmen und Privatdetekteien auf der 
Kundenliste stehen. Außerdem wurde 
sie lange Zeit auch von Investoren und 
Freunden der Gründer zu privaten Zwe- 
cken benutzt. Nach der kritischen Be- 
richterstattung über das Unternehmen 
und sein Produkt veröffentlichte Clear- 
view AI einen Verhaltenskodex, wonach 
die App „nur für Strafverfolger und aus- 
gesuchte Sicherheitsexperten zugäng- 
lich” sei. Sie enthalte „Sicherheitsvor- 
kehrungen, damit diese Profis sie nur für 
den beabsichtigten Zweck nutzen”. 

Wer früh in das Start-up investierte, 
bekam aber nach den Presseberichten 
einen privaten Zugang zur App als An- 
reiz. Mitgründer Hoan Ton-That bestä- 
tigte diese Testzugänge für die sorg- 
fältige Prüfung der Technik durch po- 
tenzielle Investoren und „strategische 
Partner”. So verwendete etwa der Mil- 
liardär John Catsimatidis die Software, 
um den ihm unbekannten Begleiter 
seiner Tochter in einem Restaurant zu 
identifizieren. Er bat dazu den Kellner, 
den Mann zu fotografieren. Das Foto 
lud er dann in die App, für die er einen 
Nutzeraccount hatte, und glich es so 
erfolgreich mit Clearviews riesiger Da- 
tenbank ab. Die App verriet ihm, dass 
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es sich beim Freund seiner Tochter um 
einen Risikoinvestor aus San Francisco 
handelte. Später wurde die Technik von 
seiner Supermarktkette eingesetzt, um 
Ladendiebe wiederzuerkennen. Cat- 
simatidis sah es als „großes Problem” 
an, dass jemand Häagen-Dasz-Eiscreme 
klaute. 

Gemäß einem anderen Investor sollen 
dessen beiden schulpflichtigen Töchter 
sich einen Spaß gemacht haben, mit 
der App zu spielen und sie an sich selbst 
und Freunden auszuprobieren, um zu 
erfahren, wem sie ähnlich sehen. Wei- 
tere Personen mit Clearview-Zugängen 
haben die App demnach bei Dates und 
Geschäftsveranstaltungen verwendet. 
In den Händen von Privatpersonen 
kann solch eine App zum Stalking ver- 
wendet werden. In der Öffentlichkeit 
wäre niemand, von dem es im Internet 
frei zugängliche Fotos gibt, noch vor ei- 
ner unfreiwilligen und heimlichen Iden- 
tifizierung geschützt. 

Auf seiner Website bietet Clearview 
AI für EU-Bürgerinnen und -Bürger ein 
Formular, mit dem diese beantragen 
können, aus der Datenbank gelöscht zu 
werden. Wer das erreichen will, muss 
allerdings ein Foto von sich hochladen 
und sich identifizieren. 

In Deutschland überprüft der Ham- 
burgische Datenschutzbeauftragte 
(HmbBfDI) Johannes Caspar auf eine 
Beschwerde hin die auf automatisierte 
Gesichtserkennung spezialisierte Firma 
Clearview AI. Auskünfte, die ein betrof- 
fener Beschwerdeführer von dem Unter- 
nehmen erhalten habe, „geben Anlass 
zu einer Reihe von Fragen über das da- 
hinterliegende Datenverarbeitungs- 
modell”. Ein Sprecher des HmbBfDI: 
„Mit anderen europäischen Aufsichts- 
behörden, die ähnliche Untersuchun- 
gen durchführen, werden wir uns ab- 
stimmen.” Parallel gelte es zu klären, 
welche Unternehmen oder Sicherheits- 
behörden in Deutschland Kunden von 
Clearview sind beziehungsweise waren. 
Sollten sich Berichte bestätigen, dass 
europäische Polizeiämter die „frag- 
würdigen Angebote“ der Firma genutzt 
hätten, „wäre dafür zu sorgen, dass dies 
umgehend abgestellt“ und für die Zu- 
kunft ausgeschlossen wird. 

Der Bundesdatenschutzbeauftragte 
Ulrich Kelber stellte klar, dass er etwa 
für das Bundeskriminalamt (BKA) für 


den Einsatz einer solchen Technik „kei- 
ne gesetzliche Grundlage” sieht. Ge- 
mäß dem HmbBfDI besteht „Grund zu 
der Annahme, dass die Verarbeitung 
biometrischer Daten von Millionen von 
Nutzern auf keiner tragfähigen rechtli- 
chen Grundlage beruht“. Das Vorgehen 
der Firma verstoße damit gegen Vorga- 
ben der Datenschutz-Grundverordnung 
(DSGVO). Gleiches gelte „für diejenigen 
verantwortlichen Stellen, die das Ange- 
bot von Clearview nutzten, da sie einen 
Teil der datenschutzrechtlichen Verant- 
wortung tragen”. 

Sollten Bürger Anhaltspunkte dafür 
haben, dass ihre Daten von Clearview 
verwendet würden, steht ihnen ein Aus- 
kunftsrecht zu. Dieses können sie direkt 
bei dem Unternehmen geltend machen, 
um zu erfahren, ob sie tatsächlich be- 
troffen sind und gegebenenfalls etwa 
auch eine Löschung beantragen. Die 
von Clearview geforderten Ausweisdo- 
kumente sollten dabei aber nur in um 
nicht erforderliche Daten geschwärz- 
ter Form übersendet werden. Dass die 
Firma eine Ausweiskopie verlangt, hält 
Caspar für problematisch. Dem Unter- 
nehmen würden so „zusätzliche Daten 
zugespielt“. Unabhängig davon sei be- 
reits gesetzlich geregelt, dass unrecht- 
mäßig beschaffte und verarbeitete In- 
formationen zu löschen sind. Es bedürfe 
dazu keines individuellen Antrags. Dies 
zu klären und gegebenenfalls durch- 
zusetzen, sei Aufgabe der Aufsichtsbe- 
hörden: „Wir werden diese rechtlichen 
Anforderungen nach Maßgabe unserer 
Prüfung geltend machen.” 

Der Fall zeigt für Caspar, „dass die 
Technologie der Gesichtserkennung 
massive Risiken für die Privatsphäre mit 
sich bringt und kaum zu kontrollieren 
ist”. Die Sicherheitsbehörden sollten 
ihre eigenen Überlegungen zur Nutzung 
biometrischer Werkzeuge daher auf den 
Prüfstand stellen. Sie bräuchten dafür 
eine klare rechtliche Basis, aus der sich 
„insbesondere Anlass, Ort und Zeit der 
Maßnahme, Informations- und Aus- 
kunftspflichten sowie ein Richtervorbe- 
halt für die Anordnung ergeben“. Clear- 
view konnte laut Caspar offenbar eine 
große Datenbasis aufbauen, „da es sich 
aus Öffentlich zugänglichen Daten” wie 
Profilbildern der Nutzer von Facebook & 
Co. bedient habe. Die Betreiber hätten 
es daher wohl versäumt, „ein solches 
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massenhaftes Scraping der Daten ef- 
fektiv zu verhindern”. Anbieter sollten 
verstärkt in die Pflicht genommen wer- 
den, um durch technische Maßnahmen 
im Einklang mit dem Grundsatz „Pri- 
vacy by Design” ein solches Vorgehen 
von vornherein zu verhindern (Krempl, 
Gesichtserkennung: Hamburgischer Da- 
tenschützer geht gegen Clearview vor, 
www.heise.de 10.03.2020, Kurzlink: 
https://heise.de/-4687290; Clearviews 
Gesichtserkennung wurde auch privat 
genutzt, www.spiegel.de 05.03.2020). 


USA 


Schlechtes Zeugnis für Pre- 
dictive Policing in LA 


Die Polizei in Los Angeles (LA) ver- 
folgte mit dem Überwachungsprogramm 
„Operation LASER” das Ziel Verbrechen 
zu verhindern, bevor sie geschehen. 
Dies wurde nicht erreicht, wohl aber 
produzierte das Verfahren systema- 
tisch Diskriminierung. Die Polizei wollte 
Schwerkriminelle und Gangmitglieder 
„wie Tumore“ im Blick behalten. Mithil- 
fe von „Operation LASER” sollten sie mit 
„laser-ähnlicher Präzision” aus gewalt- 
geplagten Vierteln entfernt werden, so 
eine Projektbeschreibung. Die übrigen 
Bewohner sollten möglichst unbescha- 
det bleiben. Mitte Dezember 2019 ge- 
langten Informationen an die Öffent- 
lichkeit, wonach fast ausschließlich La- 
tinos und Schwarze überwacht wurden. 
Aufstieg und Fall von „Operation LASER” 
werfen ein Schlaglicht auf die generell 
mit „Predictive Policing”“ verbundenen 
Probleme. Dabei soll mit datengestütz- 
ten Prognosen die Wahrscheinlichkeit 
zukünftiger Verbrechen an bestimmten 
Orten oder die potenzielle Gefährlich- 
keit von Personen berechnet werden. 

Die Bürgerrechtsorganisation „Stop 
LAPD Spying Coalition” hatte nach einer 
Klage gegen die Polizei von Los Angeles 
Dokumente erhalten, die eine rassisti- 
sche Verzerrung belegen, darunter eine 
Liste mit 679 Zielpersonen. Die Bewer- 
tung von Hamid Khan, dem Gründer der 
Organisation: „Die Daten zeigen, dass 89 
Prozent der überwachten Personen Peo- 
ple of Color, also nicht weiß sind.” Mit 
insgesamt 44 Prozent schwarzen Ziel- 
personen sei der Fokus auf die schwar- 
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ze Bevölkerung „überwältigend“: „Die 
schwarze Gemeinschaft hatin Los Ange- 
les nur einen Anteil von rund neun Pro- 
zent an der Gesamtbevölkerung, also ist 
es eine Verzerrung von 5:1.” 

Prognosesoftware soll theoretisch ob- 
jektivere Einschätzungen liefern als Poli- 
zeibeamte aus Fleisch und Blut und eine 
gezieltere und kostensparende Polizeiar- 
beit ermöglichen. An der Zuverlässigkeit 
der Vorhersagen bestehen jedoch Zwei- 
fel, unabhängige Erfolgsbeweise existie- 
ren nicht. Dennoch hat sich Predictive 
Policing weltweit - auch in Deutschland 
- ausgebreitet. Sicherheitsbehörden ver- 
suchen hierzulande etwa mit RADAR-iTE 
die Gefährlichkeit von Terrorverdächti- 
gen zu berechnen. Ein halbes Dutzend 
Landeskriminalämter setzt zudem auf 
Einbruchsvorhersagen. 

In einer Studie der Stiftung Neue 
Verantwortung und der Bertelsmann 
Stiftung zum Predictive Policing warnt 
Tobias Knobloch: „Wie gut das Einkrei- 
sen von Kriminalitäts-Hotspots funktio- 
niert, weiß man nicht, weil die Wirkung 
sehr schwer messbar ist.” Jeder Erfolg 
sei spekulativ, weil er im Ausbleiben von 
Kriminalität bestehe. „Andere mögliche 
Einflussfaktoren” ließen sich nicht so 
isolieren, „dass man Wirkungen unmit- 
telbar auf Predictive Policing zurück- 
führen“ könne. Auch Prognosen zur 
Gefährlichkeit oder zum Rückfallrisiko 
von Straftätern oder Verdächtigen sind 
umstritten. 

In amerikanischen Metropolen wie 
Los Angeles und Chicago untersuchen 
mittlerweile polizeiliche Aufsichtskom- 
missionen die Programme, was Hamid 
Khan grundsätzlich begrüßt: „Operati- 
on LASER wurde lange eingesetzt, ohne 
dass außerhalb der Polizei irgendje- 
mand wusste, was da abläuft und ohne 
zu verstehen, dass gerade ein Paradig- 
menwechsel zu datenbasierter Polizei- 
arbeit stattfindet.”. Von einem Gemein- 
schaftszentrum in der Skid Row aus, 
jenem Stadtviertel von Los Angeles, in 
dem Tausende Obdachlose auf der Stra- 
ße leben und ständig Polizeikontrollen 
stattfinden, erforscht Khan seit 2010 
mit einem Team von Freiwilligen und 
Betroffenen den Überwachungsapparat 
desLA Police Department (LAPD), wobei 
er auf „Operation LASER” stieß. 

Mit Fördermitteln aus der „Smart Poli- 
cing Initiative“ des US-Justizministeri- 


ums hatten das LAPD und die private IT- 
Firma Justice & Security Strategies 2009 
begonnen, zu analysieren, in welchen 
Stadtgebieten in den Vorjahren die meis- 
ten Schießereien und Vorfälle mit Waf- 
fengewalt gemeldet wurden. Dabei wur- 
den Hotspots mit hohen Kriminalitätsra- 
ten und „Anchor Points“ wie Shopping- 
Malls, Parks, Obdachlosenunterkünfte 
oder Alkohol-Geschäfte identifiziert. Im 
September 2011 lief „Operation LASER” 
zunächst in der Newton Division an und 
wurde dann nach und nach auf weitere 
Stadtviertel ausgedehnt. 

Im Rahmen des „Chronic Offender Pro- 
gram” erstellte die Polizei zudem für je- 
des Gebiet ein Ranking mit mindestens 
zwölf Serientätern, auf die sich die Po- 
lizeiarbeit konzentrieren sollte. Für das 
Scoring wurden Punkte nach Kriterien 
wie Gangmitgliedschaft, Gewalttaten in 
der Vergangenheit, Verhaftungen, Be- 
währungsstrafen oder kürzliche „Poli- 
zeikontakte” addiert. In die Erstellung 
von personenbezogenen Profilen flossen 
zudem Analysen mit Software der um- 
strittenen Firma Palantir ein, die auch in 
Europa, etwa bei der Landespolizei von 
Hessen, zum Einsatz kommt und die ver- 
schiedene Polizeidatenbanken scannt. 

Der Fokus auf kleine Gruppen von 
Schwerkriminellen sollte auch das Ram- 
bo-Image der LAPD vergessen machen, 
das lange als Amerikas brutalster und 
rassistischster Polizeiapparat galt. Die 
LAPD war mit dem Rampart-Skandal 
oder mit Massenverhaftungen im Zuge 
der „Operation Hammer” aufgefallen. 
Die Polizei stehe mittlerweile unter 
Rechtfertigungsdruck, so Hamid Khan: 
„Es ist eine Evolution, dass das LAPD 
jetzt sagt: ‚Wir wollen nicht die ganze 
Community stören, sondern wir kom- 
men, um die Schlimmsten der Schlim- 
men zu holen.” Für ihn ist Predictive Po- 
licing dennoch kein echter Wandel hin 
zu einer faireren Polizeiarbeit, sondern 
„eine pseudowissenschaftliche Maskera- 
de für die Kriminalisierung und Überwa- 
chung gesellschaftlicher Minderheiten 
- eine Art Formel, mit der die Polizei 
der Öffentlichkeit gegenüber begründen 
kann, warum sietut, was sietut“. 

Nach viel öffentlicher Kritik hat auch 
die Polizeikommission „Operation LA- 
SER” inzwischen eine vernichtende 
Bilanz ausgestellt. Sie warnt davor, 
Schlüsse aus den Daten zum angebli- 
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chen Erfolg des Programms zu ziehen. 
Die Daten weisen zahlreiche Widersprü- 
che auf, auch die Präsenz der Polizei in 
den Schwerpunktgebieten war offenbar 
begrenzt. Der Kommission zufolge wur- 
de ein Großteil der per GPS automatisch 
erfassten Anwesenheitszeiten der Po- 
lizei in den „Hotspots“ durch geparkte 
Autos erzeugt oder durch Polizisten, die 
an dem Ort vorbeifuhren. 

Zudem prangert die Kommission in 
ihrem Ende März 2019 veröffentlichten 
Untersuchungsbericht gravierende In- 
konsistenzen bei der Verwaltung des 
„Chronic Offender Program” an, „insbe- 
sondere in Bezug auf die Auswahl- und 
Dokumentationspraktiken von Gebiet 
zu Gebiet”: „Diese Unterschiede schei- 
nen auf einen Mangel an zentralisierter 
Aufsicht sowie auf einen Mangel an for- 
malisierten und detaillierten Protokol- 
len und Verfahren zurückzuführen zu 
sein.” Die meisten als „Wiederholungs- 
täter“ kategorisierten Personen hät- 
ten wenige oder keine Polizeikontakte 
gehabt. Einige der Zielpersonen seien 
zwar kontrolliert oder verhaftet worden; 
dies sei aber nicht klar auf „Operation 
LASER” zurückzuführen. 

Allein Kriterien wie Gangmitglied- 
schaft, die in Predictive Policing ein- 
fließen, offenbaren, wie problematisch 
die Einstufung von Kriminellen ist. US- 
Gang-Datenbanken sind oft fehlerhaft 
und veraltet. Menschen werden krimina- 
lisiert, ohne jemals verhaftet worden zu 
sein. Afroamerikaner und Latinos sind 
überproportional vertreten. Ein Prüfbe- 
richt von 2016 offenbarte, dass Kalifor- 
niens Gangdatenbank „CalGang System” 
zahlreiche Fehler enthielt. Babys waren 
darin registriert, die angeblich zugege- 
ben hatten, Gangmitglieder zu sein. 

Technologien wie Predictive Policing 
verschleiern Ruha Benjamin, Professo- 
rin von der Princeton University, zufolge 
Rassismus: „Algorithmen schaffen ein 
Hightech-Alibi für das routinemäßige 
Racial Profiling, Schikanen und die Be- 
setzung von schwarzen Stadtvierteln. 
Sie verbergen Schichten historischer 
und anhaltender Diskriminierung, die 
die Input-Daten und Design-Annahmen 
automatisierter Entscheidungssysteme 
prägen, unter einer täuschend einfa- 
chen Bewertung.” Dieser „rassistische 
Minimalismus” führe dazu, dass Diskri- 
minierung zunehmend unentdeckt blei- 
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be, dabei aber nicht weniger tödlich sei. 
Auch Kate Crawford vom AINow Institu- 
te an der New York University warnt da- 
vor, dass Software durch den Bezug auf 
historische Daten einen „Teufelskreis“ 
fortsetze, „indem die Polizei ihre Prä- 
senz an den Orten erhöht, an denen sie 
bereits tätig ist oder überproportional 
patrouilliert”. In diesen Gebieten fänden 
dann immer mehr Verhaftungen statt. 

„Operation LASER” wurde mittlerwei- 
le gestoppt. In einem Memo kündigte 
der Polizeichef Michel Moore bereits 
an, zukünftig auf „Precision Policing” 
umzuschwenken - ein älteres, relativ 
schwammiges Konzept, das einerseits 
wie Predictive Policing den Fokus auf 
die kleine Gruppe von Schwerkriminel- 
len legt, andererseits auf die Zusam- 
menarbeit mit der „Community“ setzt 
(Peteranderl, Die Verbrecherjagd der 
Zukunft ist schon gescheitert, www. 
spiegel.de, 22.12.2019). 


USA 


Mit Bluetooth gegen Unter- 
richtsschwänzer 


Die University of Missouri (MU) ver- 
wendet eine Kombination aus versteck- 
ter Trackingtechnik und einer speziellen 
App, um zu überprüfen, ob Studierende 
ihrer Anwesenheitspflicht nachkom- 
men. Laut Angaben der Sportabteilung 
der Hochschule wird das System dort 
seit 2016 eingesetzt - für Erstsemester 
ebenso wie für solche Studierende, die 
akademische Probleme haben. Im Rah- 
men eines Testprogramms soll gemäß 
Presseberichten das Verfahren nun auf 
alle „Erstis“ ausgedehnt werden. Es 
werde ihnen mitgeteilt, dass die Über- 
wachung ihrer Anwesenheit erfolgt, so 
Mitarbeiter der Hochschule. Einen „Opt- 
out“ werde es jedoch nicht geben. Man 
wolle die alten Anwesenheitslisten kom- 
plett durch App und Tracking ersetzen. 
Allerdings dementierte die MU mittler- 
weile: Die Teilnahme an dem Piloten sei 
„optional“. Man decke nur „weniger als 
zwei Prozent” aller Studenten an der 
University of Missouri ab. 

Technisch umgesetzt wird die Studie- 
rendenerfassung mit einer App namens 
„Spotter“. Diese stammt selbst von 
einem ehemaligen Basketballtrainer 


der Universität. Sie kombiniert Nahbe- 
reichssensoren im Smartphone mit dem 
auf dem Campus installierten WLAN- 
Netzwerk, hieß es. Verwendet werden 
dabei sogenannte Beacons, kleine Sen- 
der- und Empfangsanlagen, die in je- 
dem Raum vorhanden sind. Umgehen 
lässt sich das Verfahren, indem man 
beispielsweise seinen Bluetooth-Emp- 
fang abdreht. Doch dann erinnert die 
App den Nutzer daran, dies doch bitte 
zu unterlassen (Schwan, Tracking-App: 
Mit Bluetooth gegen Schwänzer, www. 
heise.de 30.03.2020, Kurzlink: https:// 
heise.de/-4666310). 


USA 


Inhaltskontrollen bei 
Apples iCloud 


Mindestens seit Herbst 2019 überprüft 
Apple iCloud offenbar auf illegale Inhal- 
te. Aus einem Durchsuchungsbeschluss 
geht hervor, dass E-Mails mit Anhängen, 
die gemäß dem Apple-System als bekann- 
tes Material mit Fotos oder Videos, die 
Kindesmissbrauch zeigen, identifiziert 
werden, automatisch blockiert werden. 
Der Konzern setze dafür auf Hashes und 
einen automatisierten Abgleich mit ent- 
sprechenden Datenbanken. Ähnlich sol- 
len auch andere IT-Konzerne vorgehen. 

Ein Mitarbeiter von Apple sichtet ge- 
mäß dem Beschluss markierte E-Mails 
anschließend und meldet den Fall bei 
Verdacht auf Kinderpornographie direkt 
an die zuständigen US-Behörden. Über- 
mittelt werden demnach auch Name, 
Adresse und Telefonnummer des ver- 
dächtigten iCloud-Nutzers. Eine Person 
hatte 8 E-Mails stets an den gleichen 
Empfänger verschickt, „die wir abgefan- 
gen haben“, wird der Apple-Mitarbeiter 
aus den Unterlagen zitiert. Der Absen- 
der habe die Bilder wohl an sich selbst 
geschickt und den Vorgang mehrfach 
wiederholt, weil diese nicht angekom- 
men sind, oder er sei vom Empfänger 
darauf hingewiesen worden. Strafver- 
folger haben den Unterlagen zufolge im 
nächsten Schritt E-Mails, Textnachrich- 
ten und alle weiteren iCloud-Dateien 
des Nutzers von Apple angefordert - und 
im Gegenzug Anfang Februar eine Datei 
von dem Konzern erhalten, deren Inhalt 
nicht im Detail aufgeführt wurde. 
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Anfang Januar 2020 bestätigte App- 
le erstmals öffentlich, dass „bestimmte 
Techniken“ im Kampf gegen Kindes- 
missbrauch eingesetzt werden. Man 
nutze „elektronische Signaturen um 
vermeintlichen Kindesmissbrauch auf- 
zuspüren”. Weitere Details wurden nicht 
genannt. Auf eine „Vorabprüfung und 
das Scannen hochgeladener Inhalte 
auf potenziell illegale Inhalte“ weist 
Apple seit Herbst 2019 in der Daten- 
schutzrichtlinie hin. Auf welche weite- 
ren „illegalen Inhalte” das System dabei 
achtet, ist unklar. Offen bleibt auch, ob 
Apple einen Weg gefunden hat, Material 
zu prüfen, das über den Ende-zu-Ende- 
verschlüsselten Messaging-Dienst iMes- 
sage ausgetauscht wird. 

US-Behörden haben ihr Vorgehen 
gegen Verschlüsselung jüngst wieder 
verstärkt - besonders mit dem Verweis 
auf Kindesmissbrauch. US-Justizminis- 
ter William Barr forderte Facebook im 
Herbst 2019 dazu auf, Strafverfolgern 
Inhaltszugriffe zu ermöglichen; nur so 
könne man Kinder schützen. Das Netz- 
werk hatte zuvor in Aussicht gestellt, 
auch Facebook Messenger durch Ende- 
zu-Ende-Verschlüsselung abzusichern. 
Barr kritisierte Anfang Januar 2020 
Apple scharf, weil der Konzern nicht 
bei der Entsperrung eines verschlüs- 
selten iPhones helfen wolle; Apple wies 
die Vorwürfe zurück (Becker, Apple- 
Mitarbeiter prüfen E-Mails bei Verdacht 
auf Kindesmissbrauch, www.heise.de 
13.02.2020, Kurzlink: https://heise. 
de/-4660126) 


Australien 


Mobilgeräte-Detektor- 
Einsatz bei Kfz-Nutzung 


Im australischen Bundesstaat New 
South Wales sind Ende 2019 Überwa- 
chungskameras regulär in Betrieb ge- 
nommen worden, die nicht nur erfas- 
sen, ob Kfz-Nutzende zu schnell fahren, 
sondern auch erkennen, ob sie sich am 
Steuer korrekt verhalten. Gemäß der zu- 
ständigen Behörde (Transport for NSW) 
handelt es sich um die weltweit ersten 
Handy-Erkennungskameras, die Tag 
und Nacht bei allen Wetterbedingun- 
gen arbeiten, um festzustellen, ob ein 
Fahrer ein Mobiltelefon bedient. Gemäß 
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dem zuständigen Polizeichefist das „ein 
System, um die Kultur zu verändern”. 

Das System verfüge über eine Reihe 
Kameras und einen Infrarotblitz, um 
bei allen Verkehrs- und Wetterbedin- 
gungen klare Bilder von vorbeifahren- 
den Fahrzeugen aufzunehmen. Möglich 
sein sollen fest installierte und mobile 
Kontrollen, die alle auf der gleichen 
Technologie basieren. Die Aufnahmen 
der Überwachungskameras werden mit 
sog. künstlicher Intelligenz ausgewer- 
tet. Sobald die Algorithmen eine wahr- 
scheinlich illegale Nutzung von Mobil- 
geräten erkennen, werden die Bilder 
durch Menschen überprüft. 

Die Autofahrer-Überwachung hat 
sich angeblich in einem Pilotprojekt von 
Januar bis Juni 2019 bewährt. Dabei 
wurden gemäß Behördenangaben über 
100.000 Fahrerinnen und Fahrer er- 
wischt, die im Auto ein Mobiltelefon il- 
legal verwendeten. Wie bei anderen Pro- 
grammen für Verkehrsüberwachungs- 
kameras gäbe es „strenge Kontrollen, 
um sicherzustellen, dass die vom Sys- 
tem erfassten Bilder sicher gespeichert 
und verwaltet werden”. Die australi- 
schen Behörden setzen stark auf digita- 
le Mustererkennung. So wurde Oktober 
2019 bekannt, dass das australische 
Innenministerium an einem Gesichtser- 
kennungsdienst zur Altersverifikation 
arbeitet, der von Porno- und Glücks- 


spiel-Webseiten eingesetzt werden soll. 
Damit würde das bereits bestehende 
staatliche Gesichtserkennungssystem 
für die Privatwirtschaft geöffnet. 

Es wurde angekündigt, dass in den 
ersten drei Monaten des Einsatzes der 
Mobilnutzungserkennung fehlbare Fah- 
rerinnen und Fahrer nur eine Verwar- 
nung erhalten sollen. Danach müsse die 
vom Gesetzgeber vorgesehene Geldstra- 
fe von umgerechnet rund 210 € bezahlt 
werden. In einer Schulzone würden ca. 
280 € fällig. Zudem gibt es Strafpunk- 
te, die ab einer bestimmten Anzahl zum 
Ausweisentzug führen. Sprachanrufe 
während der Fahrt sind nur mit einer 
Freisprecheinrichtung erlaubt. Alle 
anderen Tätigkeiten, wie etwa Video- 
anrufe, die Nutzung von Social Media 
oder das Fotografieren, sind während 
der Fahrt verboten. Verkehrsminister 
Andrew Constance erklärte: „Wer denkt, 
weiterhin die eigene Sicherheit, die von 
Mitfahrern und der Gesellschaft ohne 
Folgen gefährden zu können, den er- 
wartet eine böse Überraschung.” Bisher 
seien bis Dezember 2019 329 Menschen 
auf den Straßen von New South Wales 
gestorben, verglichen mit 354 Men- 
schen im gesamten vorangegangenen 
Jahr, so die offizielle Statistik (Handy- 
sündern geht es an den Kragen: Diese 
Kamera erkennt, wenn du am Steuer 
telefonierst, www.watson.ch 02.12.19). 


Technik-Nachrichten 


Verizon geht mit daten- 
schutzfreundlicher Such- 
maschine auf den Markt 


Verizon Media startet mit One- 
Search eine neue Suchmaschine, die 
den Fokus auf den Datenschutz legt. 
OneSearch soll so gut wie nichts über 
die Nutzenden speichern. Im automa- 
tisch voreingestellten Advanced Pri- 
vacy Mode löscht sie nach einer Stun- 
de sogar den verschlüsselten Link zu 
den Suchergebnissen. Dahinter steckt 
das Unternehmen Verizon Media, Ba- 


sis ist Bing, die Suchmaschine von 
Microsoft. 

Alle Anfragen werden verschlüsselt. 
Die Suchmaschine speichert keine Ver- 
läufe, IP-Adressen und Standorte. So 
ist es nicht möglich, Nutzerprofile zu 
erstellen. Die Ergebnisse werden daher 
auch nicht an den Nutzer angepasst, 
wie es z.B. bei Google der Fall ist. Es 
gibt kein Cookie-Tracking oder Retar- 
geting. Da keine Daten gespeichert 
werden, können sie auch nicht an Wer- 
betreibende weitergeleitet oder ver- 
kauft werden. Die Werbeanzeigen sind 
nicht personalisiert, sondern sind auf 
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Grundlage der aktuellen Suchanfrage 
kontextbasiert. 

Bisher ist OneSearch als Desktop- 
und Mobile-Web-Variante für Nordame- 
rika optimiert, sie lässt sich aber auch 
in Europa testen. Neben der Auswahl 
zwischen Textquellen, Bildern und 
Videos, kann man eine Art Kinder- 
Sicherheit einstellen: „kein Filter“, 
„keine expliziten Bilder“ und „keine 
Erwachsenenbilder”. Die Suchmaschi- 
ne soll sich künftig auch von anderen 
Unternehmen in die eigenen Produkte 
integrieren lassen. Ein Start-Termin 
für andere Regionen ist noch nicht 
bekannt. i0S- und Android-Versionen 
sollen in Kürze erscheinen. 

Hauptkonkurrenz für OneSearch 
ist in Nordamerika DuckDuckGo, das 
ähnlich auf den Datenschutz fokus- 
siert, keine Informationen weitergibt 
und Tracker blockiert. In Europa ist 
Startpage als datenschutzfreundliche 
Alternative zu GoogleSearch oder Bing 
verbreitet. Ab März 2020 steht Duck- 
DuckGo beim Einrichten eines Andro- 
id-Geräts als Standard-Suchmaschine 
zur Auswahl. Google durftenach einem 
EU-Urteil nicht weiter nur die haus- 
eigene Suchmaschine anbieten. Zum 
Mutterkonzern Verizon gehören auch 
Yahoo und AOL. Die New Yorker betrei- 
ben die beiden Unterseekabel Ulysses 
1 und 2. Zu den Enthüllungen Edward 
Snowdens gehörte auch, dass Verizon 
der NSA Verbindungsdaten zugänglich 
machte. Dafür bekam das Unternehmen 
dicke Zahlungen. Auch der Deutsche 
Bundestag nutzte Verizon als Provider, 
beendete aber 2014 die Zusammen- 
arbeit kurz nach Bekanntwerden der 
NSA-Kooperation (Weiß, Fokus auf Da- 
tenschutz: Verizon Media startet Such- 
maschine OneSearch, www.heise.de 
27.01.2020; Kurzlink: https://heise. 
de/-4646378). 


Samsung-Smartphones 
telefonieren eigenständig 
nach China 


Die auch auf neuen Samsung-Smart- 
phones vorinstallierte App Device Care 
schickt Daten zu einem chinesischen 
Sicherheitsunternehmen. Die Software 
dient Wartungszwecken. Sicherheits- 
forscher haben entdeckt, dass die App 
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Kontakt mit einem chinesischen Server 
aufnimmt und Daten übermittelt, ohne 
dass die Nutzenden dem explizit zu- 
stimmen müssen. Was das chinesische 
Unternehmen mit den Daten macht, ist 
nicht bekannt. 

Die vorinstallierte App Device Care 
kann von einem normalen Nutzer auch 
nicht deinstalliert werden. Die Daten 
landen beim Unternehmen Qih00360. 
Was für Daten an diese chinesische 
Firma gehen, ist nicht bekannt. Dieses 
fragwürdige Verhalten hatte ein Red- 
dit-Nutzer entdeckt, während er die 
Kommunikation seines Smartphones 
Galaxy S10+ mit dem Netzwerkscanner 
Wirescan untersuchte. 

Samsung teilte mit, dass die App 
lediglich den Typ des Smartphones, 
dessen Speicherkapazität und die An- 
droid-Version verrät, es sich dabei also 
um keine personenbezogenen Daten 
handele. Sie überwache den Speicher 
der Samsung-Geräte und erkenne so- 
genannte Junk-Dateien, die nur Platz 
verbrauchen, aber nicht mehr benötigt 
würden. Qiho0360 stellt eine Daten- 
bank mit solchen Dateien zur Verfü- 
gung, die die App nutzt. Qiho0360 hat 
keinen guten Ruf. Das Unternehmen 
fiel in der Vergangenheit mehrmals 
in Sicherheitskreisen negativ auf. So 
verkauft das Unternehmen eine Anti- 
Virus-Software, die Anwendungen der 
Konkurrenz als Viren markiert und 
diese entfernt. Außerdem hat das 
Unternehmen eine Browserleiste im 
Programm, die Werbung einblendet 
und fälschlicherweise vor einem Virus 
warnt und die Installation der eigenen 
Anti-Virus-Lösung anbietet (Gundlach, 
Datenschutz: Samsung-App schickt 
Daten ungefragt nach China, www. 
maclife.de 10.01.2020). 


Gesundheitscheck mit der 
intelligenten Toilette 


Forschende von der US-Universität 
Stanford haben eine smarte Toilette 
entwickelt, die Kot und Urin medizi- 
nisch analysieren und die jeweiligen 
Benutzer biometrisch identifizieren 
können soll. Sie haben dafür eine 
normale Toilette vernetzt und mit al- 
lerhand Analysetechnik ausgestattet: 
Kameras, Druck- und Bewegungssen- 


soren. So sollen sich Erkrankungen wie 
Prostata-Krebs oder Nierenprobleme 
schneller diagnostizieren lassen. Die 
Toilette erfasst beim Erledigen der Ge- 
schäfte die sogenannte Urodynamik, 
was unter anderem Durchflussrate 
und Druck des Urinstahls beinhaltet, 
ebenso wie die Konsistenz des Stuhls. 
Zudem kommen Teststreifen zum Ein- 
satz, die molekulare Eigenschaften des 
Urins ermitteln. Gemäß Studienleiter 
Sanjiv Gambhir kann die Toilette zehn 
verschiedene Biomarker messen. Ge- 
testet wurde das Experimentalklo in 
einer Studie mit 21 Personen. 

Die ermittelten Daten sollen automa- 
tisiert in einem sicheren Cloudsystem 
abgelegt werden können, damit sie 
für Ärzte und Gesundheitseinrichtun- 
gen bereitstehen. Die Toilettensyste- 
me sollen autonom funktionieren und 
auch von mehreren Personen benutzt 
werden. Daher sahen die Forscher 
auch die Notwendigkeit einer Identifi- 
kation der Nutzer, damit Daten richtig 
zugeordnet werden. Hierfür wurde in 
der Spültaste ein Fingerabdruckleser 
integriert. Für den Fall, dass jemand 
anders die Spülung drückt, haben die 
Forschenden ein Kamerasystem für 
die Anus-Erkennung eingebaut, da- 
mit Nutzer anhand von Aufnahmen 
ihrer Analregion identifiziert werden 
können. Gambhir: „Es zeigte sich, dass 
es auch einen einzigartigen Anus-Ab- 
druck gibt.” Entsprechende Aufnah- 
men dienten aber nur der Erkennung 
und seien nicht für die Speicherung 
und Weiterleitung an die Ärzte vorge- 
sehen, so die Pressemitteilung. 

Unklar ist, ob diese Technik Serien- 
reife erreicht und den Weg in private 
Badezimmer findet. Eine Umfrage un- 
ter 300 Personen habe laut den For- 
schern ergeben, dass sich rund 37% 
der Befragten halbwegs vorstellen 
könnten, eine solche Toilette zu benut- 
zen (Kannenberg, Smarte Toilette mit 
Anus-Erkennung und Fäkalienanalyse, 
www.heise.de 08.04.2020, Kurzlink: 
https://heise.de/-4699245). 
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Rechtsprechung 


KG Berlin 


Facebook verstößt gegen 
Datenschutzrecht 


Das Kammergericht Berlin (Ober- 
landesgericht) hat mit Urteil vom 
20.12.2019 in einem Verfahren gegen 
Facebook das Urteil des Landgerichts 
Berlin vom 16.01.2018 (DANA 1/2018, 
760 f.) bestätigt (Az. 5 U 9/18) und 
stärkt damit die Position des Verbrau- 
cherzentrale Bundesverbands (vzbv). 
Auf die Berufung hin bestätigte das Ge- 
richt, dass Facebook mit seinen Vorein- 
stellungen zur Privatsphäre und einem 
Teil seiner Geschäftsbedingungen gegen 
Verbraucher-- und Datenschutzrecht 
verstößt. Das soziale Netzwerk muss 
dies unterlassen. 

Der vzbv hatte 2015 insgesamt 26 Ein- 
zelverstöße beanstandet. Die Verbrau- 
cherschützer monierten unter anderem 
den im Smartphone standardmäßig ak- 
tivierten Ortungsdienst von Facebook, 
der auch Chat-Partnern den Aufent- 
haltsort verriet, sowie den erlaubten 
Zugriff von Suchmaschinen auf die Nut- 
zerfeeds. Für beides hätte laut Gericht 
eine Einwilligung, also ein Opt-in, erfor- 
dern müssen. 

Die Klauseln, dass Facebook sich die 
Nutzung des Namens und Profilbilds von 
Mitgliedern für „kommerzielle, gespon- 
serte und verwandte Inhalte” vorbehält 
und Nutzer sich vorab mit allen Ände- 
rungen der Datenrichtlinien einver- 
standen erklären hätten müssen, hiel- 
ten die Richter für nicht haltbar. Auch 
die Klarnamenpflicht hat in den Augen 
des Gerichts keinen Bestand. Der vzbv 
erläutert: „Eine Klausel, die Nutzer un- 
ter anderem zur Angabe ihres richtigen 
Namens verpflichtete, ist dem Unter- 
nehmen nach teilweiser Berufungsrück- 
nahme im Dezember 2019 bereits jetzt 
rechtskräftig untersagt.” 

Facebook hatte sich auch dagegen 
gewehrt, dass der Verband überhaupt 
klagen darf. Mit Inkrafttreten der DSGVO 
brauche es dafür den Auftrag eines be- 
troffenen Verbrauchers. Auch dies sah 
das Gericht anders: Es ist „Verbänden 
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zur Wahrung von Verbraucherinteressen 
ausdrücklich gestattet, gegen den mut- 
maßlichen Verletzer von Vorschriften 
zum Schutz personenbezogener Daten 
vorzugehen.” Beanstandet wird vom 
Gericht auch das versteckte Impressum. 

vzbv-Rechtsreferent Heiko Dünkel be- 
grüßte das Urteil: „Nicht zum ersten Mal 
wird Facebook wegen des sorglosen Um- 
gangs mit den Daten seiner Nutzerinnen 
und Nutzer verurteilt.” Das Kammerge- 
richt habe dabei klargestellt, dass Ver- 
braucherzentralen dagegen vorgehen 
könnten. 

Nicht beanstandet hat das Gericht 
den damaligen Werbeslogan „Facebook 
ist und bleibt kostenlos”. Der vzbv hat- 
te ihn als irreführend kritisiert, da Ver- 
braucher zwar kein Geld für den Dienst 
zahlen müssen, wohl aber mit ihren Da- 
ten bezahlen, die Facebook Gewinn ein- 
bringen. Nach Auffassung des Kammer- 
gerichts bezieht sich die Werbung je- 
doch nur darauf, dass die Dienste ohne 
Geldzahlungen oder andere Vermögens- 
einbußen genutzt werden können. Der 
Senat wies außerdem die Klage gegen 
einzelne Klauseln aus der Datenricht- 
linie des Unternehmens ab. Bei diesen 
handele es sich nicht um Allgemeine 
Geschäftsbedingungen. 

Eine Revision hat das Gericht nicht 
zugelassen. Allerdings können bei- 
de Parteien eine Nichtzulassungsbe- 
schwerde beim Bundesgerichtshof 
einreichen. Eine Facebook-Sprecherin 
kommentierte das Urteil: „Unabhän- 
gig von diesem Verfahren haben wir 
unsere Geschäftsbedingungen und 
Datenrichtlinie im Frühjahr 2018 um- 
fassend überarbeitet. In seiner Presse- 
mitteilung verweist der VZBV auf meh- 
rere Klauseln und Einstellungen, die in 
dieser Form schon längst nicht mehr 
existieren, aber in einem seit 2015 an- 
hängigen Verfahren formal nach wie 
vor zur Entscheidung standen.” (Weiß, 
Urteil: Facebook verstößt gegen Daten- 
und Verbraucherschutz, www.heise. 
de 24./27.01.2020, Kurzlink: https:// 
www.heise.de/-4645477; Facebook 
verstößt gegen Datenschutzrecht, 
www.vzbv.de 24.01.2020). 


LG Heidelberg 


Kein Auskunftsanspruch 
bei zu hohem Aufwand 


Gemäß einem Urteil des Landge- 
richts (LG) Heidelberg vom 21.02.2020 
besteht das Auskunftsrecht nach 
Art. 15 Datenschutz-Grundverordnung 
(DSGVO) nicht, wenn eine Auskunft 
vom Verantwortlichen nur mit unange- 
messenem Aufwand erteilt werden kann 
(Az. 4 0 6/19). Im konkreten Fall wäre 
eine Sichtung und Schwärzung von ca. 
10.000 E-Mails nötig gewesen. Der Klä- 
ger war ehemaliges Vorstandsmitglied 
einer Aktiengesellschaft. Diese meldete 
Insolvenz an und der Beklagte wurde 
zum Insolvenzverwalter bestellt. Der 
Kläger berief sich nun auf Art. 15 DSGVO 
und verlangte einen umfassenden Aus- 
kunftsanspruch. Hilfsweise verlangte 
er Auskunft über die E-Mail-Korrespon- 
denz innerhalb eines bestimmten Zeit- 
raums. 

Das LG Heidelberg wies beide gel- 
tend gemachten Ansprüche als unbe- 
gründet ab. 

Der umfassende Auskunftsanspruch 
sei viel zu weitreichend und zu unbe- 
stimmt, so das Gericht: 

„Art. 15 DSGVO gewährt einen An- 
spruch auf Auskunftserteilung der 
personenbezogenen Leistungs- und 
Verhaltensdaten. Bei personenbezoge- 
nen Leistungs- und Verhaltensdaten 
handelt es sich um eine bestimmte Ka- 
tegorie von personenbezogenen Daten 
1.S.v. Art. 15 Abs. 1Hs. 2 b) DSGVO i.V.m. 
Art. 4Nr. 1DSGVO (...). 

Vorliegend beschreibt der Kläger je- 
doch nicht einmal, auf welche Berei- 
che bzw. Kategorien er seine Auskunft 
erstrecken lassen will. Für Verantwort- 
liche, die eine große Menge von Infor- 
mationen über die betroffene Person 
verarbeiten, sieht Erwägungsgrund 63 
a.E. zunächst eine Erleichterung bei ei- 
nem (pauschalen) Auskunftsersuchen 
vor. So darf der Verantwortliche vor 
Auskunftserteilung von der betroffenen 
Person eine Präzisierung des Auskunfts- 
begehrens verlangen (s. auch Bäcker in 
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Kühling/Buchner DSGVO Art. 15 Rn. 30; 
Schantz in Schantz/Wolff DatenschutzR 
Rn. 1193; bzgl. der Herausforderungen 
iRv Big Data Anwendungen s. Werkmeis- 
ter/Brandt CR 2016, 233 (236 £.)). 

Die betroffene Person hat klarzustel- 
len, an welchen Informationen bzw. 
welchen Verarbeitungsvorgängen sie in- 
teressiert ist (Paal/Pauly/Paal, 2. Aufl. 
2018, DSGVO Art. 15 Rn. 8).” 

Der Hilfsanspruch hinsichtlich der 
Herausgabe der E-Mails sei zwar aus- 
reichend bestimmt, scheitere aber dar- 
an, dass dieser unverhältnismäßig sei. 
Denn für die Sichtung und Schwärzung 
der E-Mails würden Kosten iHv. mehr als 
4.000 EUR entstehen. Darüber hinaus 
würde die Durchführung der Auskunft 


die Ressourcen des Beklagten über Wo- 
chen binden. Das Informationsbegeh- 
ren des Klägers sei im vorliegenden Fall 
deutlich geringer einzustufen als die 
berechtigten Interessen des Unterneh- 
mens. Darüber hinaus handle es sich 
um elektronische Nachrichten, die zwi- 
schen 9-10 Jahre zurückliegen würden. 
Auch der Kläger selbst sei seit 9 Jahren 
nicht mehr bei der insolventen Firma 
beschäftigt. 

Das LG Heidelberg wertete es ins- 
besondere nachteilig für den Kläger, 
dass er seinen Auskunftsanspruch erst 
Jahre später im Rahmen eines zivil- 
rechtlichen Verfahrens geltend mach- 
te. Ebenso zog das Gericht nachteilige 
Schlüsse aus dem Umstand, dass der 


Kläger, obgleich persönlich geladen, 
nicht selbst erschien, sondern unent- 
schuldigt fernblieb. 

Das Urteil steht in einem gewissen 
Spannungsverhältnis zu einem Urteil 
des Landesarbeitsgerichts Stuttgart 
vom 20.12.2018, wo ein ehemaliger 
Mitarbeiter der Rechtsabteilung den 
Daimler-Konzern auf umfassende 
DSGVO-Auskunft verklagte und Recht 
bekam (Az. 17 Sa 11/18) (Zöll/Kiel- 
kowski, Zuviel Aufwand? Kein Aus- 
kunftsanspruch nach DSGVO!, blog. 
handelsblatt.com 09.03.2020; Bahr, 
Kein DSGVO-Auskunftsanspruch, wenn 
Aufwand zu-hoch (hier Sichtung von 
ca. 10.000 E-Mails), www.dr-bahr.com 
09.03.2020). 


Buchbesprechungen | 


NOMOSKOMMENTAR 


Krahmer Inne] 


Sozialdatenschutz- 
recht 


Krahmer, Utz (Hrsg.) 
Sozialdatenschutzrecht 
Persönlichkeitsschutz nach SGB I, 
SGB X, DSGVO 

4. Aufl. Nomos Baden-Baden, 2020, 
ISBN 978-3-8487-3056-8, 488 5., 78 € 


(tw) So üppig die Literatur zur allge- 
meinen Umsetzung der europäischen Da- 
tenschutz-Grundverordnung (DSGVO) ist, 
so dürftig war siein Bezug auf die spezifi- 
sche Umsetzung im Sozialrecht. Abgese- 
hen von einer Artikelserie von Bieresborn 
in der Neuen Zeitschrift für Sozialrecht 
zum Jahreswechsel 2017/2018 gab es 
lange überhaupt nichts. Inzwischen er- 
scheinen die ersten Neuauflagen der 
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Kommentierungen zu einzelnen Sozi- 
algesetzbüchern (SGB). Es ist nun das 
Verdienst des Nomos-Verlags, die Lücke 
zu schließen und eine umfassende Kom- 
mentierung der Datenschutzregelungen 
im SGB I und SGB X vorzulegen. Eine 
weitere, eher auf die Praxis ausgerichte- 
te Veröffentlichung, herausgegeben von 
Kipker/Voskamp, ist angekündigt. 

Wie wichtig eine qualifizierte Kom- 
mentierung der nach der DSGVO überar- 
beiteten Regelungen ist, ist für diejeni- 
gen, die mit der Thematik zu tun haben, 
offensichtlich: War das Ineinandergrei- 
fen von allgemeinem Datenschutzrecht 
und SGB schon kompliziert genug, so 
kommt nun mit der DSGVO eine weite- 
re Ebene hinzu. Zwar können, dank der 
Öffnungsklauseln in der DSGVO, sowohl 
Struktur und Inhalte der SGB-Regelun- 
gen beibehalten werden - und an dieser 
Vorgabe hat sich der Bundesgesetzge- 
ber in teilweise erschreckender Weise 
orientiert - doch wird das Wechselspiel 
zwischen SGB I und X, den speziellen 
SGB-Regelungen und dem allgemeinen 
Datenschutzrecht, das im BDSG und 
vorrangig nun in der DSGVO zu finden 
ist, noch anspruchsvoller. Dazu beige- 
tragen hat, dass die DSGVO hier nicht 
beim gängigen Namen benannt wird, 


sondern juristisch als „Verordnung (EU) 
2016/679” geführt wird, was fast so gif- 
tig klingt wie „E 605“. 

Dem Kommentar gelingt dann aber 
in einer zumindest für Juristen nach- 
vollziehbaren Weise die Darstellung 
dieses Wechselspiels, indem der das 
Sozialgeheimnis regelnde & 35 SGB I 
und die 88 67 bis 85a SGB X ausführlich 
kommentiert werden. Dabei gehen die 
Kommentierungen nach einem bewähr- 
ten Muster vor: Gegenstand und Aufbau 
der Norm (Rn. 1), europarechtlicher 
Kontext (Rn. 2), Entstehungsgeschich- 
te (Rn. 3), Gesetzesmaterialien (Rn. 4) 
und dem folgend die Erläuterung des 
Normwortlautes. Besonders wertvoll 
ist der Abdruck der Gesetzesmateriali- 
en, was dem Rechtsanwender oft klar- 
macht, welche und wie wenig Gedanken 
sich der Gesetzgeber gemacht hat, als 
er die Paragrafenungetüme schuf. Auch 
die Wechselbezüge zum spezifischen 
Sozialrecht, etwa dem SGB VIII zur Kin- 
der- und Jugendhilfe, werden exemp- 
larisch dargestellt. Da die vorliegende 
Kommentierung auf Vorauflagen (in an- 
deren Verlagen) zurückgreift, wird aus- 
führlich auch die ältere Literatur darge- 
stellt, was für das aktuelle Verständnis 
der Regelungen oft hilfreich ist. 
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Äußerst erfreulich ist das recht voll- 
ständige Literaturverzeichnis. Die 
Struktur des SGB X in den 88 67 ff. folgt 
zwar der bisherigen gesetzlichen Lo- 
gik, doch fällt es dann doch schwer, 
angesichts der oft verschwurbelten Ge- 
setzesformulierungen den konkret an- 
wendbaren Text und die dazu gehörende 
Kommentierung zu finden, so dass dann 
das Stichwortverzeichnis und die gute 
Gliederung hilfreich sind. 

Also: Ein rund herum gelungenes 
Werk. Es ist das Ergebnis der akribi- 
schen Arbeit der wenigen ausgewie- 
senen Expertinnen und Experten, von 
denen hier viele zu Wort kommen: 
Ahrend, Dix, Hoffmann, Hoidn, Kip- 
ker, Krahmer, Kreße, Meißner, Raum, 
Sommer und Strothmann. Dennoch ist 
etwas Kritik erlaubt: Zum einen wäre es 
schon zu wünschen gewesen, dass die 
für den Rechtsanwender oft unzumut- 
baren Regelungen, was zu Vollzugsdefi- 
ziten führt, als solche benannt worden 
wären. Auch rechtspolitische Kritik 
wäre angebracht und hätte der dogma- 
tischen Darstellung nicht geschadet. 
Schließlich gibt es kleine dogmati- 
sche Unzulänglichkeiten, etwa wenn 
die jüngste Änderung zur beruflichen 
Schweigepflicht in & 203 StGB zu kurz 
kommt. Für Juristinnen und Juristen, 
die mit Sozialdatenschutz zu tun ha- 
ben, wird das Buch vorläufig wohl das 
Standardwerk sein, auf das man ver- 
trauensvoll zurückgreifen kann. 


N Nomos 
na 


Huber, Christian/Kornes, Roland/ 
Mathis, Melanie/Thoenneßen, Axel 
(Hrsg.) 

Tagungsband „Fachtagung Personen- 
schaden 2019” 

Baden-Baden 2019, Nomos Verlag, 
ISBN 978-3-8487-6312-2 
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(me) Unter der Ägide des Instituts für 
faire Schadensregulierung GmbH fand 
am 7. und 8. November 2019 die „Fach- 
tagung Personenschaden 2019” statt. 

Zweck und Zielvon Tagung und dazu- 
gehörendem Tagungsband soll es sein, 
über die aktuelle Rechtsprechung des 
Verkehrsunfallrechts,  Arzthaftungs- 
rechts und Sozialversicherungsrechts 
zu informieren und darüber hinaus ein 
größeres Thema in den Mittelpunkt zu 
stellen. Bei diesem größeren Thema 
handelt es sich aus Sicht des daten- 
schutzrechtlich Interessierten um einen 
besonderen Leckerbissen: 


Großflächige Belegforderungen und 
Datenerhebungen der Assekuranzunter- 
nehmen durch ihren Dienstleister (Acti- 
neo) im Zuge der Geltendmachung von 
Regressforderungen der Sozialversiche- 
rungsträger. 


Zu diesem Thema gab es drei größe- 
re Vorträge, von denen zwei in den Ta- 
gungsband aufgenommen wurden. Im 
ersten führt Roland Kornes sehr aus- 
führlich und lehrreich in das Thema ein. 
Sein Referat hat den Titel „Belegfor- 
derungswelle und massive Datenerhe- 
bungen bei Regress-Forderungen”. Der 
Referent schildert das von ihm so ge- 
nannte „Regulierungs-Klima” aus Sicht 
der Sozialversicherungsträger. Es geht 
um den Interessenausgleich zwischen 
Geschädigtem und seinem Sozialversi- 
cherungsträger auf der einen und dem 
Schädiger und seiner Haftpflichtversi- 
cherung auf der anderen Seite. Proble- 
matisch wird dieser Vorgang, weil der 
Haftpflichtversicherer einen externen 
Dienstleister einschaltet. Dies ist wohl 
vorwiegend die Firma Actineo GmbH, 
die sich selbst als „deutschen Markt- 
führer für die Digitalisierung und me- 
dizinische Einschätzung von Personen- 
schäden” bezeichnet. Actineo fordert 
im Regulierungsfall die „umfassende 
Belegung sämtlicher Forderungen und 
Rechnungspositionen“, was nicht nur 
aus datenschutzrechtlicher Sicht prob- 
lematisch erscheint. Dadurch kommt es 
für die Sozialversicherung zu erhöhten 
Kosten und für den Geschädigten zu ei- 
ner nicht unerheblichen Verzögerung 
bei der Schadensregulierung. Kornes 
legt dar, welche Belegpflichten für die 
Sozialversicherung rechtlich vorgese- 


hen sind und inwieweit das Vorgehen der 
Firm Actineo problematisch, jarechtlich 
anzuzweifeln ist, was z.T. datenschutz- 
rechtlich begründet sein kann. Sehr 
schön ist in diesem Zusammenhang die 
Darlegung einschlägiger Gerichtsur- 
teile. Kornes überzeugt durch die Ver- 
wendung von Beispielen, die auch dem 
des Regressrechts Unkundigen einen 
guten Zugang zur Materie verschaffen. 
Außerdem lässt die nicht humorlose 
Auswahl der Überschriften die Empö- 
rung des Fachmannes deutlich werden: 
Da wird vom „Regulierungs-Ozean” und 
„Belegforderungs-Tsunami” gesprochen 
und dies anschaulich belegt. Beach- 
tenswert sind die Ausführungen zu den 
Datenschutzbedenken des Referenten, 
der auf „datengetriebene Verhaltens- 
tarife in der Versicherungswirtschaft” 
und auf die Gefahr der Verknüpfung mit 
anderen Risikobereichen hinweist. In 
völliger Intransparenz für den Kunden 
werden Daten aufgezeichnet und von 
einem Dienstleister 5 Jahre, von der 
Versicherung 10 Jahre gespeichert (und 
wohl auch verwendet), was mehr als be- 
denklich ist. 

Der zweite Vortrag von Hülsmann 
schließt sich thematisch an die Ausfüh- 
rungen des ersten Referenten an und 
ist für am Datenschutz Interessierte 
sehr lesenswert! Der Referent entwirft 
eine inhaltlich und stilistisch überzeu- 
gende Betrachtung zur Sammlung und 
Verarbeitung von Gesundheitsdaten 
durch Haftpflichtversicherungen und 
ihre Dienstleister am Beispiel der Fir- 
ma Actineo GmbH. Besonders lohnend 
ist dieser Beitrag, weil er zunächst die 
Voraussetzungen einer rechtmäßigen 
Datenverarbeitung darlegt, die beson- 
dere Stellung der Gesundheitsdaten 
beleuchtet und die von der Rechtsord- 
nung vorgesehenen Möglichkeiten ei- 
ner Weitergabe personenbezogener Da- 
ten an Dritte beschreibt. Damit sind die 
Grundlagen der Verarbeitung personen- 
bezogener Daten auf eine Art und Weise 
erläutert, dass selbst der nicht täglich 
mit datenschutzrechtlichen Fragen be- 
fasste Jurist und Informatiker verste- 
hen kann, wie problematisch die Vor- 
gehensweise des Auftragsverarbeiters 
Actineo ist. Hülsmann zeigt auf, dass 
die von Actineo angebotene „Auftrags- 
verarbeitung” den rechtlichen Rahmen 
des Art. 28 DSGVO sprengt und einen 
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Großteil der Daten wohl eher für eige- 
ne Zwecke ge- bzw. missbraucht. Vielen 
Lesern dürfte Hülsmann aus der Seele 
sprechen, wenn er den Irrweg des deut- 
schen Gesundheitswesens beschreibt, 
das zu einer „renditeorientieren Ge- 
sundheitswirtschaft“ mutiert ist. Dazu 
passt die fragwürdige Einbindung einer 
„Auftragsverarbeitung“ bei der Scha- 
densregulierung durch Dienstleister, 
die dabei Eigennütziges und möglicher- 
weise Rechtswidriges im Schilde führen, 
um „Deutschlands größte unabhängige 
Datenbank medizinisch codierter Per- 
sonenschäden” zu schaffen. Sehr schön 
ist der Verweis auf das Volkszählungs- 
urteil des Bundesverfassungsgerichts, 
wonach die betroffene Person eben 
nicht zum bloßen Objekt reduziert wer- 
den darf, das keine Befugnis mehr hat, 
selbst über Preisgabe und Verwendung 
seiner Daten zu bestimmen. So wird die 
abschließend von Hülsmann gestellte 
Frage nach der Legalität und Legitimi- 
tät der Datenverarbeitung durch den 
genannten Dienstleister zu Recht erho- 
ben. Eine Befassung der Angelegenheit 
durch die Datenschutzaufsichtsbehörde 
wäre zu wünschen! (der Vortrag findet 
sich auch in DANA 1/2020, 13-19). 

In einem dritten kleineren Beitrag 
bewertet Thoenneßen die „Belegforde- 
rung durch die Actineo GmbH aus zi- 
vilprozessualer Sicht“. Empathisch ver- 
gleicht der Referent die Vorgehensweise 
der Haftpflichtversicherer gegenüber 
den Sozialversicherungsträgern mit der 
Vorgehensweise bei Kfz-Blechschäden, 
bei der ebenfalls „Prüf-Organisationen” 
zum Angriff gegen die Berechnungen 
des Geschädigten eingesetzt werden. 
Unter Heranziehung einschlägiger Ge- 
richtsurteille empfiehlt Thoenneßen 
eine Vorgehensweise, die mit verzugs- 
bedingter Fristsetzung und baldiger 
Klageerhebung ökonomischer ist als 
langwierige vorgerichtliche Auseinan- 
dersetzungen mit den Haftpflichtversi- 
cherern. 

Nicht unerwähnt bleiben sollen der 
zweite und dritte Themenkomplex: Da- 
bei geht es um eine der wesentlichs- 
ten Fragen des Zivilprozesses, nämlich 
die Beweislast, die vom Referenten 
Scholten als „Zünglein an der Waage” 
bezeichnet wird und überaus entschei- 
dungserheblich ist. Verdienstvoll ist die 
Erläuterung von primärer und sekun- 
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därer Darlegungslast sowie der Fragen, 
die im Schadensersatzprozess regelmä- 
Rig abzuarbeiten sind, wie beispielswei- 
se Schmerzensgeld, Heilbehandlungs- 
kosten, Verdienstausfall, um nur einige 
zu nennen. Während Scholten aus Sicht 
des Richters vorträgt, führt die nachfol- 
gende Referentin Mathis die Problema- 
tik aus Sicht der Anwältin aus. Beides 
ist für den Praktiker überaus nützlich 
und lesenswert. 

Im dritten und letzten Teil geht es da- 
rum, aktuelle Rechtsprechungsbeispie- 
le zu den Themata „Personenschaden“, 
„Haftungsprivilegierung beim Arbeits- 
unfall” und „Arzthaftpflicht” zu erläu- 
tern. Die Übersicht muss als gelungen 
bezeichnet werden. Sie ist gut geschrie- 
ben und erfüllt den im Geleitwort des 
Tagungsbandes beschriebenen Zweck: 
nämlich im halbjährlichen Abstand die 
bedeutendsten Entscheidungen des 
letzten Halbjahres darzustellen und die 
Teilnehmer auf einen „lückenlosen Wis- 
sensstand“” zu bringen. 

Auf weitere Tagungen dieser Art ist 
der fachlich interessierte Leser ge- 
spannt. 


De wosernnerun dr 
rd ten A nah 


Berger, Hannes 

Öffentliche Archive und staatliches 
Wissen 

Die Modernisierung des deutschen 
Archivrechts 

Tectum Verlag Baden-Baden, 2019, 608 S. 
ISBN 978-3-8288-4373-8, 112,00 € 


(tw) Es gibt Rechtsbereiche, die von 
Anfang an hohe datenschutzrechtliche 
Relevanz hatten und weiterhin haben, 
ohne dass sich dies bisher in der „Litera- 
tur“, also in der publizistischen und wis- 
senschaftlichen Aufarbeitung niederge- 
schlagen hat. Ein solcher Bereich ist das 


Archivrecht, das nach der Volkszählungs- 
entscheidung 1983 aus guten Gründen an 
diese neue Verfassungsrechtsprechung 
angepasst wurde und so eine erste Ge- 
neration von Gesetzen in Bund und Län- 
dern erhalten hat. Der gute Grund liegt 
darin, dass in öffentlichen Archiven die 
Dokumente der öffentlichen Verwaltung 
gelagert werden, die von „bleibendem 
Wert” sind; dies sind zu einem großen 
Teil Dokumente mit personenbezogenen 
Angaben. Diese Unterlagen werden zen- 
tral für die jeweilige Verwaltungsebene 
gespeichert und stehen grundsätzlich 
jedermann, also auch jeder Frau, zur Aus- 
wertung zur Verfügung. 

Dass sich hieraus bisher nur wenige 
Datenschutzkonflikte ergeben haben, 
liegt daran, dass die Existenz der Archive 
nur wenigen Spezialisten, insbesonde- 
re Historikern, bewusst ist und dass vor 
ihrer Bereitstellung für die Öffentlichkeit 
zunächst zumeist 30 Jahre vergangen 
sein mussten. In unserer schnelllebigen 
Informationsgesellschaft interessiert 
diese Vergangenheit bisher nur wenige 
und dies äußerst selektiv. Doch wird sich 
die Bedeutung der Archive ändern. Zum 
einen werden die Sperrfristen verkürzt; 
teilweise dauert diese Frist oft nur noch 
10 Jahre; bei Unterlagen aus dem Be- 
reich der Informationsfreiheit sind die 
Sperrfristen teilweise völlig abgeschafft. 
Zum anderen führt die Digitalisierung der 
Verwaltung zu einer massiven Steigerung 
des Informationsanfalls, was zu völlig 
neuen Auswertungsmöglichkeiten und 
- zumindest potenziell - neuen Begehr- 
lichkeiten führt. 

Umso erstaunlicher ist, dass trotz die- 
ses neuen Interesses seit den 80er Jahren 
des letzten Jahrhunderts das Archivrecht 
fast unverändert geblieben ist. Wohl 
gab es Anpassungen wegen Änderungen 
im Urheberrecht und im Informations- 
freiheitsrecht, auch wegen neuer Mög- 
lichkeiten und Bedarfe, die sich mit der 
Digitalisierung ergeben. Doch sind die 
Umbrüche in der Politik, also bei den Ge- 
setzgebern im Bund und in den Ländern, 
zumeist nur bruchstückhaft angekom- 
men. Dies gilt selbst für den jüngsten 
Umbruch: die direkte Geltung der euro- 
päischen Datenschutz-Grundverordnung 
(DSGVO) seit Mai 2018. Die DSGVO hat 
wichtige Änderungen für das Archivrecht 
zur Folge, sie privilegiert die archivische 
Sekundärnutzung von personenbezoge- 
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nen Dokumenten und eröffnet zugleich 
Einschränkungsmöglichkeiten bei den 
Betroffenenrechten. Doch davon ließ 
sich die Politik nicht beeindrucken: Sie 
passte formal die Terminologie und eini- 
ge Regeln an. Das war es dann aber auch 
schon. Dass dadurch offensichtlich die 
europäischen Rechtsvorgaben verletzt 
werden, scheint bisher kaum jemanden 
zu jucken (vgl. die Besprechung von 
Partsch, Bundesarchivgesetz, in DANA 
4/2019, 241). 

Bisher! Das muss und kann sich än- 
dern - mit der vorliegenden Dissertati- 
on aus Erfurt. Hannes Berger liefert auf 
knapp 600 Seiten eine schonungslose 
Analyse des bestehenden Archivrechts 
und kommt zu dem Ergebnis, dass sich 
sehr viel ändern muss, wenn wir mit der 
Verfassungsrechtslage und der techni- 
schen Entwicklung in unserer Informa- 
tionsgesellschaft Schritt halten wollen. 
Unaufgeregt und in einer für Nicht-Ju- 
risten verständlichen Sprache beschreibt 
Berger die historische Entwicklung, den 
aktuellen Stand und die Novellierungs- 
notwendigkeiten des Archivrechtes - und 
dies so umfassend und detailliert und zu- 
gleich so stringent, dass (fast) alle Infor- 
mationsbedürfnisse befriedigt werden. 
So rekapituliert er die Entwicklung des 
deutschen Verfassungsrechts, das mit 
dem preußischen Arkanprinzip startete, 
aber dahin strebt, dem Staat ein hohes 
Maß an Transparenz und Informations- 
dienstleistung im Interesse des demokra- 
tischen Diskurses und des wissenschaft- 
lichen Fortschritts abzuverlangen. Dabei 
referiert er die bisher äußerst konservativ 
bleibende Rechtsprechung des Bundes- 
verfassungsgerichtes und schlägt sich 
auf die Seite der modernen Juristen, die 
in der Garantie der Informationsfreiheit 
eine staatliche Leistungsverpflichtung 
sehen. Er konstatiert aber auch, dass die 
höchstrichterliche Rechtsprechung dazu 
neigen könnte, den modernen Juristen 
zunehmend zu folgen. 

Rechtspolitisch richtig spannend sind 
Bergers Ausführungen zur Rolle der Eu- 
ropäischen Union (EU), die kompetenz- 
rechtlich im Archivrecht bisher fast nichts 
zu melden hatte, aber über die Notwen- 
digkeiten der Digitalisierung (Bedarf an 
Authentizität, Informationsdienstleis- 
tung, Standardisierung, Harmonisierung 
und Vertraulichkeit) das Archivrecht weit 
mehr beeinflusst, als es selbst Spezialis- 
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ten bewusst sein dürfte. Zwar sind die EU- 
Kompetenzen in den Bereichen Kultur 
und öffentliche Verwaltung noch subsidi- 
är gegenüber denen der Mitgliedstaaten, 
doch könnte gerade die DSGVO hier einen 
massiven Innovationsschub bringen. 

Die Richtung der nötigen Innovation 
wird von Berger präzise und gut begrün- 
det dargetan: Wir benötigen das (histo- 
rische) Verwaltungswissen als Grundlage 
für die Weiterentwicklung unserer Infor- 
mationsgesellschaft, um deren Rationa- 
lität künftig zu sichern. Dafür müssen 
sich die Archive vom Image staubiger 
Kellerräume befreien und sich zu einer 
Zentralkompetenz für Informations- 
sammlung, -speicherung und -auswer- 
tung fortentwickeln. 

Ganz nebenbei liefert Berger mit seiner 
Analyse eine umfassende Kommentierung 
des aktuellen Archivrechtes mit seinen 
vielen landesspezifischen Abweichun- 
gen und Sonderwegen und zeigt damit 
zugleich auf, welche unterschiedlichen 
Antworten Recherchierende erhalten 
können, die in (Landes-) Archiven nach 
Informationen suchen. Dies macht den 
Harmonisierungsbedarf im Archivrecht 
deutlich, der vom Modernisierungsbedarf 
überlagert wird: Dieser beginnt mit der 
Digitalisierung analoger Unterlagen und 
der aktuellen Erreichbarkeit der digitalen 
Materialien. Die Bereitstellung darf sich 
nicht darauf beschränken, nur Hilfestel- 
lungen zu geben. Als Quellenexperten 
sind Archivare vielmehr selbst die gebo- 
renen Forschenden sowie diejenigen, die 
ihre Erkenntnisse populär, z.B. über Inter- 
netangebote, präsentieren sollten. 

Äußerst erfreulich ist, dass sich Berger 
nicht nur mit der Archivierung, sondern 
auch mit der Archivnutzung befasst und 
dabei offenlegt, welche Zweckbreite von 
Archiven abgedeckt werden kann. Dies 
beginnt mit Informationsdienstleistun- 
gen für die Verwaltung, die das Archivma- 
terial ursprünglich liefert, bis hin zu Nut- 
zungsformen im „öffentlichen Interesse“, 
von denen bisher nur wenige zur Anwen- 
dung kommen, etwa im Gesundheits- 
bereich, im Bereich der Personensuche, 
der politischen Bildung oder der (rechtli- 
chen) Begutachtung. Dabei stellt sich zu- 
nehmend die Frage der Machbarkeit und 
Zulässigkeit von Massendatenauswertun- 
gen, also des Einsatzes von „Big Data” auf 
der Basis des Archivmaterials. 

Die Doktorarbeit von Berger ist viel 


mehr als eine gelungene wissenschaftli- 
che Arbeit. Sie ist zugleich ein Leitfaden 
für die Politik zur Reform des Archiv- 
rechts, ein Handbuch für Archivarinnen 
und Archivare und für Datenschützer die 
zentrale Quelle zur Beantwortung von 
Fragen zur Wechselbeziehung zwischen 
Datenschutz und Archivrecht. Eine über- 
sichtliche Gliederung, ein imposanter 
Quellennachweis mit einem ausführli- 
chen Literaturverzeichnis lässt nur we- 
nige Wünsche offen. Ein Wunsch wäre 
ein Stichwortverzeichnis, um das Buch 
noch besser als Nachschlagewerk nutzen 
zu können. Tatsächlich verbleiben einige 
Bereiche, die nicht behandelt werden: So 
wäre es reizvoll und erkenntnisfördernd, 
die konkreten Erfahrungen mit dem Sta- 
si-Unterlagen-Archiv, das dem Bundes- 
archiv zugeordnet wird, mit den Ergeb- 
nissen von Berger zu spiegeln. Ein hoch- 
kontroverses Thema, das nicht behandelt 
wird, ist die Abgabepflicht von privaten 
Archiven mit Unterlagen von früheren 
Funktionsträgern, insbesondere aus der 
Politik. Und schließlich stellt sich gene- 
rell die Frage nach dem Verhältnis pri- 
vater Datenverarbeitung, etwa von Por- 
talanbietern wie Google oder Facebook, 
die auch von öffentlichen Stellen genutzt 
werden, zu öffentlichen Archiven. Die Zu- 
kunft der Archive hängt nämlich letztlich 
davon ab, ob der Staat für sich den An- 
spruch entwickelt, zentraler Dienstleister 
für die informationelle Daseinsvorsorge 
zu sein. Zu wünschen wäre es. Berger gibt 
hierfür richtige Hinweise. 


Drozdzowski, Lukasz 
Datenschutzrechtliche Pflichten von 
Unternehmen bei der Verarbeitung 
genetischer Daten 

Verlag Dr. Kovac, Hamburg 2019, ISBN 
978-3-339-10728-2, 114. 
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(tw) Die bereichsspezifische Be- 
handlung von rechtlichen Fragen des 
Datenschutzes hat mit diesem kleinen 
Büchlein die Verarbeitung genetischer 
Daten erreicht. Diese bekommt in der 
Praxis eine immer größere Relevanz, 
insbesondere im privatwirtschaftli- 
chen Bereich. Drozdzowski liefert nun 
das Material für die Anwendung der eu- 
ropäischen Datenschutz-Grundverord- 
nung (DSGVO) für so wichtige Bereiche 
wie die Forschung, die Versicherungs- 
branche oder Beschäftigungsverhält- 
nisse. Dabei geht es um die Klärung 
des Wechselspiels zwischen der nati- 
onalen Regulierung, insbesondere im 
Gendiagnostikgesetz (GenDG), und der 
DSGVO. Für den Bereich der Versiche- 
rungswirtschaft wird ein knapper Ver- 
gleich mit den nationalen Regelungen 


Cartoon 


POLTTIKER UND WISSENSCHAFTLER 
STREITEN ÜBER DIE HERKUNFT DES VIRUS. 
EINIGE BEHAUPTEN, DASS ES ÜBER 
ZOONOSE AUS EINEM TIERMARKT IN 
WUHAN VERBREITET WURDE. ANDERE 
MEINEN, ES KOMMT AUS EINEM LABOR. 
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in Belgien, Irland, Polen, Österreich 
und Großbritannien vorgenommen. 
Der Autor behandelt systematisch alle 
rechtlich relevanten Fragestellungen: 
von der Besonderheit genetischer Daten 
und ihrer persönlichkeitsrechtlichen 
Relevanz über die Begrifflichkeit der DS- 
GVO, die Anforderungen an eine einwil- 
ligungsbasierte Verarbeitung bis hin zu 
den Anforderungen an die Verarbeitung, 
jeweils unter spezifischer Bezugnah- 
me auf die besondere Datenkategorie: 
Rechtmäßigkeit, Zweckbindung, Da- 
tenminimierung, Richtigkeit, Speicher- 
begrenzung, Integrität und Vertrau- 
lichkeit, zudem die organisatorischen 
Pflichten vom Verarbeitungsverzeichnis 
über Melde- und Benachrichtigungs- 
pflichten, Folgenabschätzung bis hin zur 
Tätigkeit des Datenschutzbeauftragten. 


Das Büchlein zeichnet sich durch 
eine saubere Quellenauswertung und 
-präsentation aus, so dass allein hier- 
über die nicht gerade üppige Literatur 
zu dem Thema bis zum Jahr 2018 er- 
schlossen ist. Förderlich für die Nut- 
zung als Handbuch sind auch die klare 
und detaillierte Gliederung sowie das 
spezifische Literaturverzeichnis und 
die deskriptive Behandlung der jewei- 
ligen Themen. Eine kritische vertiefen- 
de Aufarbeitung war offenbar nicht das 
Ziel des Autors, sondern die Vermitt- 
lung von Wissen und Material, das an- 
sonsten nirgends so aktuell und kon- 
zentriert zur datenschutzrechtlichen 
Behandlung von Gendaten verfügbar 
ist. Wer damit zu tun hat, dem ist das 
Werk sehr zu empfehlen. 


IN DEM FAKENEWS-KANAL, DEN ICH ABONNIERT 
HABE, VERTRITT MAN DIE AUFFASSUNG, DASS 
DAS VIRUS EINEN AUSSERIRDISCHEN URSPRUNG 
HAT. DIE VIREN SOLLEN DIE MENSCHHEIT 
SCHWÄCHEN - ZUR VORBEREITUNG EINER 
GEPLANTEN ALIEN-INVASION. 
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„Absolut dürfen wir den 
Datenschutz nicht setzen - 
dafür sind die Einschnitte, die 
die Pandemie schon jetzt mit 
sich bringt, einfach zu groß” 


Axel Voss (CDU) im Interview mit der FAZ 


https://www.faz.net/aktuell/politik/ 
wer-die-corona-app-hat-soll-zuerst-wieder-ins-restaurant-duerfen-16759932.html 


